Passport社交登录异常：切换FB/Google登录仍进入初始账户求助

嘿，我仔细看了你的代码和问题描述，发现两个关键问题导致了你遇到的异常情况，咱们一步步来解决：

1. 用户查询逻辑把同邮箱的不同社交账户合并了 #

你的User.findOne查询用了$or条件：只要用户的oauthID匹配当前社交平台ID，或者邮箱在返回的邮箱数组里，就会返回已存在的用户。这意味着如果你的Facebook和Google账户用了同一个邮箱，第二次登录时会直接找到第一次创建的那个用户（不管是FB还是Google创建的），自然就会登录到初始账户。

修复方案： #

首先要修改用户模型，因为现在的oauthID字段只能存单个平台的ID，没法支持多社交账户关联。我们把它改成数组来存储多个平台的认证信息：

var mongoose = require('mongoose'),
    passportLocalMongoose = require('passport-local-mongoose');
var userSchema = new mongoose.Schema({
    email: String,
    username: String,
    password: String,
    oauthAccounts: [{
        provider: String, // 标记平台，比如'google'或'facebook'
        id: String // 平台返回的用户唯一ID
    }]
});
userSchema.plugin(passportLocalMongoose);
module.exports = mongoose.model('User', userSchema);

然后修改Google策略的查询逻辑，区分“已关联当前平台的用户”、“同邮箱未关联当前平台的用户”和“全新用户”三种情况：

passport.use(new googleStrategy({
    clientID: config.google.clientID,
    clientSecret: config.google.clientSecret,
    callbackURL: config.google.callbackURL,
    scope: ['profile', 'email'],
    passReqToCallback: true
}, (request, accessToken, refreshToken, profile, done) => {
    const email = profile.emails[0].value;
    // 先找是否有用户已经关联了Google的这个ID
    User.findOne({ 'oauthAccounts': { $elemMatch: { provider: 'google', id: profile.id } } }, (err, user) => {
        if (err) return done(err);
        if (user) {
            console.log('已存在的Google关联用户:', user);
            return done(null, user);
        }
        // 如果没有，找邮箱匹配的用户
        User.findOne({ email: email }, (err, existingUser) => {
            if (err) return done(err);
            if (existingUser) {
                // 把Google账户关联到这个已存在的用户
                existingUser.oauthAccounts.push({ provider: 'google', id: profile.id });
                existingUser.save((err) => {
                    if (err) return done(err);
                    console.log('已关联Google账户到现有用户:', existingUser);
                    done(null, existingUser);
                });
            } else {
                // 创建新用户，关联Google账户
                const newUser = new User({
                    email: email,
                    username: profile.name.givenName,
                    oauthAccounts: [{ provider: 'google', id: profile.id }]
                });
                newUser.save((err) => {
                    if (err) return done(err);
                    console.log('创建新的Google用户:', newUser);
                    done(null, newUser);
                });
            }
        });
    });
}));

Facebook策略也需要做类似修改，把provider值改成'facebook'即可。

2. 退出登录不彻底，Session残留 #

如果你的退出逻辑只是调用了req.logout()但没销毁Session，可能会导致后续登录复用旧的Session数据。确保你的退出路由是这样的：

router.get('/logout', (req, res) => {
    req.logout(function(err) {
        if (err) { return next(err); }
        // 销毁Session
        req.session.destroy((err) => {
            if (err) console.log('销毁Session出错:', err);
            // 清除Session对应的Cookie（默认Cookie名为connect.sid，可根据你的配置调整）
            res.clearCookie('connect.sid');
            res.redirect('/auth');
        });
    });
});

另外，也可以检查下Passport的序列化/反序列化逻辑，确保是正确的（如果用passport-local-mongoose的封装没问题，但自定义写法更清晰）：

passport.serializeUser((user, done) => {
    done(null, user.id);
});

passport.deserializeUser((id, done) => {
    User.findById(id, (err, user) => {
        done(err, user);
    });
});

额外测试提示 #

• 如果想让同一个邮箱的不同社交账户成为独立用户，那就去掉查询邮箱的逻辑，只根据provider+id来匹配用户。
• 测试时建议用浏览器隐私模式，避免缓存的Session干扰结果。

内容的提问来源于stack exchange，提问作者Seb W