如何通过npm request模块访问Passport保护的RESTful接口

第一个问题：是否需要先调用/login/路由验证凭证？ #

答案是肯定的。Passport的保护路由（比如你的POST /items/）是基于用户已通过验证的身份来放行的——不管是用会话（Session）还是令牌（Token）策略，你都必须先通过/login/接口完成凭证验证，获取到有效的身份凭证后，后续请求才能被Passport认可并允许访问受保护的接口。

浏览器之所以能直接登录后操作，是因为浏览器会自动处理并存储服务器返回的Cookie（会话场景下），后续请求会自动带上这个Cookie，Passport就能识别出这是已登录的会话。但服务端的JavaScript代码不会自动做这件事，得手动管理身份凭证。

第二个问题：JavaScript代码如何维持有效登录状态？ #

根据Passport使用的认证策略不同，有两种常见的实现方式：

1. Cookie-Based 会话认证（Passport默认的session策略）

• 登录阶段：向/login/接口发送POST请求，请求体带上用户名和密码（比如{ username: 'xxx', password: 'xxx' }）。
• 保存会话凭证：登录成功后，服务器会在响应头返回Set-Cookie，你的JS代码需要确保后续请求自动带上这个Cookie。如果用axios的话，要在请求配置里设置withCredentials: true；用node-fetch的话，配置credentials: 'include'。这样后续调用POST /items/时，Cookie会自动被携带，Passport就能验证会话有效性。
• 注意：这种方式适合同域名下的服务间调用，如果是跨域名，需要确保CORS配置允许携带凭证（服务器端设置Access-Control-Allow-Credentials: true，并且指定允许的域名）。

2. Token-Based 认证（比如JWT策略）

这种方式更适合服务间的跨域调用，灵活性更高：

• 登录阶段：同样调用/login/接口，验证成功后，服务器会返回一个令牌（比如JWT字符串）。
• 保存令牌：把这个令牌存在代码的内存中、环境变量里（服务端场景），不要明文存在不安全的地方。
• 后续请求：每次调用受保护的接口时，在请求头里添加Authorization: Bearer <你的令牌>，Passport的JWT策略会自动解析并验证这个令牌，验证通过就会放行请求。

额外注意事项 #

• 不管用哪种方式，都要确保请求通过HTTPS传输，避免凭证被窃听。
• 如果用会话认证，要注意会话的过期时间，过期后需要重新调用/login/接口刷新会话。
• 服务间调用时，优先考虑Token-Based认证，因为它不需要依赖Cookie的域名限制，更适合微服务架构。

内容的提问来源于stack exchange，提问作者Fourii