Google Passport登录故障求助：回调无法捕获及页面加载异常

我之前处理过不少类似的Passport OAuth登录问题，结合你的描述——代码在本地和OpenShift正常，但当前云平台下出现Code was already redeemed错误、回调无法被服务器捕获且页面持续加载——这个问题基本可以锁定是部署环境的配置差异导致的，而非代码本身。下面是几个针对性的排查和解决方向：

1. 反向代理/负载均衡的请求头信任问题 #

很多云平台（比如AWS ELB、Azure App Service、某些私有云的反向代理）会在转发请求时修改协议头（比如把HTTPS转成HTTP传给后端），如果你的Express应用没有信任这些代理头，Passport会生成错误的回调URL，导致Google返回的授权码无法匹配，或者后续请求出现异常。

解决方案： #

在你的Express应用入口添加信任代理的配置：

app.set('trust proxy', true);

这个设置会让Express识别X-Forwarded-Proto、X-Forwarded-For等代理头，确保Passport生成的回调URL和Google控制台配置的一致（比如正确使用HTTPS）。

2. 多实例部署下的Session共享问题 #

如果你的应用在当前云平台是多实例部署，而你使用的是Express默认的内存Session，就会出现严重问题：

• 用户发起认证请求时，请求落到实例A，Session数据存在实例A的内存里；
• Google回调请求落到实例B，实例B没有对应的Session数据，无法验证授权码的上下文；
• 或者实例A已经用授权码兑换过token，实例B拿到同一个码时就会抛出Code was already redeemed错误。

解决方案： #

替换内存Session为共享式Session存储，比如Redis、MongoDB：

• 如果你用Redis，可以使用connect-redis包：

  const session = require('express-session');
  const RedisStore = require('connect-redis').default;
  const redis = require('redis');
  
  const client = redis.createClient({ /* Redis连接配置 */ });
  client.connect().catch(console.error);
  
  app.use(session({
    store: new RedisStore({ client: client }),
    secret: 'your-session-secret',
    resave: false,
    saveUninitialized: false,
    cookie: { secure: true, httpOnly: true } // 生产环境开启secure
  }));
  

• 确保所有实例都连接到同一个共享Session存储，这样不管回调请求落到哪个实例，都能获取到正确的认证上下文。

3. 回调URL的一致性校验 #

虽然你说代码没问题，但还是要仔细核对以下两点：

• Google控制台的回调URL：确保和生产环境应用的回调URL完全一致，包括协议（HTTPS）、域名、路径（比如https://your-domain.com/auth/google/callback），不能有任何拼写错误或协议差异；
• Passport策略的回调URL配置：尽量动态生成回调URL，避免硬编码，比如：

  passport.use(new GoogleStrategy({
    clientID: process.env.GOOGLE_CLIENT_ID,
    clientSecret: process.env.GOOGLE_CLIENT_SECRET,
    callbackURL: function(req) {
      return `${req.protocol}://${req.get('host')}/auth/google/callback`;
    }
  }, /* 验证回调函数 */));
  

  动态生成能适配不同环境的域名和协议，避免硬编码导致的不匹配。

4. 前端重复请求的问题 #

页面持续加载可能是因为前端重复发起了认证请求，导致Google返回多个授权码，第一个被使用后，后续请求的码已经失效，从而触发错误。

解决方案： #

检查前端登录逻辑，添加防重复提交的处理：

• 点击登录按钮后，立即禁用按钮并显示loading状态；
• 直到认证流程完成（成功重定向或失败提示）后，再恢复按钮状态。

排查步骤建议 #

1. 先添加app.set('trust proxy', true)，重新部署测试，这是最常见的快速解决方法；
2. 如果是多实例部署，切换到共享Session存储（比如Redis）；
3. 核对Google控制台的回调URL和应用生成的回调URL是否完全一致；
4. 在回调路由添加详细日志，打印req.query和req.session，查看每次请求的code是否重复，Session数据是否存在。

内容的提问来源于stack exchange，提问作者Marshall