Passport已登录状态下创建子用户Client报错：Can't set headers after they are sent

先来说说你碰到的核心错误：Error: Can't set headers after they are sent. —— 这是重复发送HTTP响应导致的，也是服务器崩溃的直接原因。咱们一步步拆解问题：

1. 移除多余的 next() 调用 #

看你的 postClientSignup 函数，最后一行的 next() 完全是画蛇添足。passport.authenticate 已经通过 successRedirect 和 failureRedirect 处理了页面跳转（也就是发送了HTTP响应），你再调用 next() 会让后续中间件继续执行，尝试再次发送响应，自然就触发了“不能在发送header后再设置header”的错误。

修改后的代码：

exports.postClientSignup = function(req, res, next){
  req.assert('email', 'Please sign up with a valid email.').isEmail();
  req.assert('password', 'Password must be at least 6 characters long').len(6);
  var errors = req.validationErrors();
  if (errors) {
    req.flash('errors', errors);
    req.flash('form', { email: req.body.email });
    return res.redirect('/signup');
  }
  // 直接执行Passport认证逻辑，不需要额外调用next()
  passport.authenticate('clientSignup', {
    session: false,
    successRedirect: '/dashboard/client/new',
    failureRedirect: '/dashboard/client/new',
    failureFlash : true
  })(req, res, next);
  // 删掉这行：next();
};

2. 删掉Session的无效操作 #

你已经设置了 session: false，这意味着Passport不会把Client用户存入session，但你在Client保存成功后还修改了 req.session 的cookie设置：

var time = 14 * 24 * 3600000;
req.session.cookie.maxAge = time; //2 weeks
req.session.cookie.expires = new Date(Date.now() + time);
req.session.touch();

这部分代码不仅没用（因为session被禁用了），还可能因为 req.session 未初始化引发额外错误，直接删掉就行。

3. 解决序列化/反序列化的模型不匹配问题 #

之前你提到没设 session: false 时，serializeUser 环节失败——这是因为你的序列化逻辑只针对 User 模型，但子用户是 Client 模型：

passport.deserializeUser(function(id, done) {
  // 这里只查询User表，根本不会找Client
  User.findById(id, function(err, user) {
    done(err, user);
  });
});

如果后续你需要给Client启用session（去掉 session: false），得修改反序列化逻辑，同时支持User和Client：

passport.deserializeUser(function(id, done) {
  // 先查User，找不到再查Client
  User.findById(id, function(err, user) {
    if (user) return done(err, user);
    Client.findById(id, function(err, client) {
      done(err, client);
    });
  });
});

不过目前你用了 session: false，这部分逻辑不会被触发，所以暂时可以不用改，但如果以后要启用Client的session，必须处理这个问题。

4. 简化Flash消息的处理 #

在ClientSignup策略里，你手动调用 req.flash 传递错误消息，其实可以交给Passport的 failureFlash 自动处理，简化代码：

if (existingUser) {
  req.flash('form', { email: req.body.email });
  // 直接返回错误消息，Passport会自动存入flash
  return done(null, false, { message: 'An account with that email address already exists.' });
}

保存用户时的错误处理也可以简化：

user.save(function(err) {
  if (err) return done(err, false, { message: 'Error saving user.' });
  return done(null, user, { message: `A verification email has been sent to ${user.email}.` });
});

这样代码更清晰，也避免手动操作flash可能带来的问题。

做完这些修改后，重启服务器测试，应该就能解决服务器崩溃和子用户注册的问题了。

内容的提问来源于stack exchange，提问作者Kirbytech