React+Node全栈开发Passport JS报TypeError: req.user.username未定义求助

request.user.username触发TypeError的本质是request.user值为undefined——即当前请求进入路由时，Passport没有从会话中识别到已登录的用户身份，无法加载对应用户信息。结合现有代码，问题来自三个明确的流程缺陷。

1. 修复Passport模块的加载挂载顺序 #

当前server.js中存在核心执行顺序倒置问题：

• 代码先执行passport.initialize()、passport.session()注册中间件，之后才引入passport-config模块，注册本地登录策略、用户序列化/反序列化规则
• 这会导致Passport初始化会话解析逻辑时，根本没有加载到自定义的用户还原规则，无法从session存储的用户id生成req.user对象。

修复后的server.js对应配置段： #

// 先完成Passport所有自定义配置的注册
require('./passport-config')(passport);

// 再按依赖顺序挂载各中间件
app.use(session({
    secret:'secret',
    resave: false,
    saveUninitialized: false
}))
app.use(cookieparser("secret"))
app.use(passport.initialize());
app.use(passport.session());

// 最后挂载业务路由
app.use('/api', routes)

注意：所有会话、Passport相关中间件，必须在业务路由挂载前完成注册，顺序不能颠倒。

2. 修复deserializeUser的空值报错风险 #

当前passport-config中的反序列化逻辑存在未处理的空值场景：

passport.deserializeUser((id, cb) => {
  User.findOne({ _id: id }, (err, user) => {
    const userInformation = {
      username: user.username,
    };
    cb(err, userInformation);
  });
});

如果数据库中对应用户被删除，findOne返回的user为null，直接读取user.username会抛错，中断整个会话流程，同样会导致req.user无法生成。

修复后的反序列化逻辑： #

passport.deserializeUser((id, cb) => {
  User.findOne({ _id: id }, (err, user) => {
    // 优先返回查询错误
    if (err) return cb(err);
    // 查不到合法用户时，直接返回未登录状态，不读取字段
    if (!user) return cb(null, false);
    // 仅在用户存在时返回需要的用户信息
    const userInformation = {
      id: user._id,
      username: user.username
    };
    return cb(null, userInformation);
  });
});

3. 为发布职位接口增加登录校验 #

当前/postjob路由没有任何登录拦截，未携带合法会话的请求也能直接进入路由逻辑，此时req.user必然为undefined。需要在路由入口增加会话校验，只有已登录的请求才能进入业务处理。

修复后的路由代码： #

// 定义登录校验中间件
const isLogin = (req, res, next) => {
  // 利用Passport内置方法判断当前请求是否携带有效登录会话
  if (req.isAuthenticated()) return next();
  // 未登录直接返回权限错误
  res.sendStatus(401);
}

router.post('/postjob', 
  // 挂载校验中间件
  isLogin,
  async (request,response,next)=>{
    const postjob=new postjobtemplatecopy({
        jobtitle:request.body.jobtitle,
        company:request.body.company,
        officelocation:request.body.officelocation,
        jobtype:request.body.jobtype,
        // 经过校验后request.user一定存在，不会触发TypeError
        publisher:request.user.username,
    })
    postjob.save()
    .then(data=>{
        response.json(data)
    })
    .catch(error=>{
        response.json(error)
    })
});

• 前端发送跨域请求时，必须在请求配置中开启credentials: 'include'，否则浏览器不会自动携带会话cookie，服务端无法识别登录状态
• 不要将express-session的secret硬编码在前端可见的代码段中，开发环境可临时使用，生产环境需从环境变量读取

内容的提问来源于stack exchange，提问作者tanmya