PassportJS认证始终失败：LocalStrategy跳转异常问题排查

你遇到的问题核心很明确：LocalStrategy 的默认参数读取逻辑和你用 GET 请求访问根路由的方式不兼容。

为什么会失败？ #

LocalStrategy 本身是为处理「带用户名密码的表单提交」设计的，它默认会从请求的 请求体（request body） 里读取 username 和 password 字段。但你是通过 GET 请求访问 / 路由，GET 请求没有请求体，这就导致策略回调里的 username 和 password 都是 undefined——虽然你的回调里直接返回了用户对象，但 Passport 内部会先检查这两个参数是否存在，参数缺失直接判定为认证失败，所以跳转到了 /hello?failure。

而且从安全角度来说，GET 请求也不适合用来传递用户名密码这类敏感信息，参数会直接暴露在 URL 里，这是不符合最佳实践的。

解决方案 #

下面给你两种可行的处理方式，推荐用第一种：

方案一：改用 POST 请求处理认证（推荐）

这是生产环境的标准做法，需要做两个小修改：

1. 先添加 Express 的请求体解析中间件，因为 Express 默认不解析表单数据：

// 建议放在中间件配置的最前面
app.use(express.urlencoded({ extended: true }));

2. 把根路由改成 POST 方法，同时可以加一个 GET 路由用来显示登录表单（方便测试）：

// 显示登录表单的GET路由
app.get('/', (req, res) => {
  res.send(`
    <form method="POST" action="/">
      <label>用户名：<input type="text" name="username"></label>
      <label>密码：<input type="password" name="password"></label>
      <button type="submit">登录</button>
    </form>
  `);
});

// 处理登录认证的POST路由
app.post('/', passport.authenticate('local-login', { 
  successRedirect: '/hello', 
  failureRedirect: '/hello?failure' 
}));

这样你访问 http://localhost:3000 会看到登录表单，提交后就能触发成功跳转了。

方案二：让 LocalStrategy 从 GET 参数读取值（仅用于测试）

如果只是想快速测试认证逻辑，不想改 POST，可以修改 LocalStrategy 的配置，指定从 URL 的 query 参数里读取用户名和密码：

passport.use('local-login', new LocalStrategy(
  {
    usernameField: 'username',
    passwordField: 'password',
    passReqToCallback: true, // 把请求对象传给回调函数
  },
  function (req, username, password, done) {
    // 从URL的query参数里取用户名密码
    const inputUsername = req.query.username;
    const inputPassword = req.query.password;
    console.log(inputUsername + ' username ');
    console.log(inputPassword + ' password ');
    // 直接返回用户对象（测试用）
    return done(null, { name: 'suhail' });
  }
));

之后你访问 http://localhost:3000?username=any&password=any 就能触发成功跳转了，但这种方式绝对不能用在生产环境，密码会直接暴露在URL中，存在严重安全隐患。

额外提示 #

你当前的认证回调直接返回了用户对象，没有做任何用户名密码的校验逻辑，这在测试里没问题，但实际项目中一定要在这里添加真实的校验（比如从数据库查询用户并比对密码）。

内容的提问来源于stack exchange，提问作者Suhail Gupta