为什么Handlebars模板中{{user.username}}无法解析并提示访问被拒绝？

Handlebars：拒绝解析属性“username”，因为它不是其父对象的“自有属性”。

• 你在全局中间件中通过res.locals.user = req.user || null注入模板的用户对象，本质是Passport从Mongoose User模型反序列化得到的Mongoose文档实例，并非普通JavaScript纯对象。
• Mongoose文档实例不会把username、email这类Schema定义的字段直接挂载为对象自身的可枚举自有属性，字段值实际存储在Mongoose内部的私有缓存结构中。
• Handlebars默认开启安全访问策略，为了避免读取原型链上的危险属性（比如对象原型的构造函数、__proto__等），仅允许解析目标对象自身的可枚举自有属性，碰到跨层读取的属性就会抛出当前报错。

方案1：模板注入时转换对象格式（最简便） #

直接修改全局中间件的用户注入逻辑，用Mongoose自带的toObject()方法把文档实例转为纯JavaScript对象，该方法会把文档内部存储的字段全部展开为对象的自有可枚举属性：

// 原有代码
res.locals.user = req.user || null;
// 修改为
res.locals.user = req.user ? req.user.toObject() : null;

注：转换为纯对象后，Mongoose文档上挂载的实例方法（如matchPassword、encryptPassword）不会随对象传入模板，这类方法本就不需要在前端模板使用，不会产生业务影响。

方案2：从Passport序列化逻辑根源优化（更规范） #

调整config/passport.js中的用户序列化/反序列化逻辑，避免把完整Mongoose文档存入会话、直接返回给req.user：

• 序列化阶段仅把用户ID存入会话存储，不保存整个文档实例
• 反序列化阶段查到用户数据后，先转为纯对象再返回给请求对象

// passport 配置示例片段
passport.serializeUser((user, done) => {
  done(null, user.id); // 仅存用户ID到session
});

passport.deserializeUser(async (id, done) => {
  try {
    const user = await User.findById(id);
    done(null, user ? user.toObject() : null); // 转纯对象后返回
  } catch (err) {
    done(err);
  }
});

不推荐的操作 #

不要通过关闭Handlebars的安全属性校验（比如设置allowProtoPropertiesByDefault: true）来绕过报错，这种操作会放开原型链属性访问权限，存在原型链污染的安全风险。

内容的提问来源于stack exchange，提问作者davidf214