Passport JWT鉴权未授权且回调函数无日志输出问题求助

嘿，我之前也踩过Passport版本更新后的类似坑，尤其是登录后受保护路由无法访问的情况，咱们一步步来拆解问题：

1. 优先检查Passport版本兼容性 #

最近Passport的小版本更新确实调整了部分API的回调逻辑，比如serializeUser/deserializeUser现在更推荐使用async/await或者返回Promise的写法，旧的回调写法可能因为版本兼容问题导致函数根本不执行（也就是你说的console.log没输出）。

比如之前的写法：

passport.serializeUser((user, done) => {
  console.log('序列化用户');
  done(null, user.id);
});

现在可以改成async版本试试：

passport.serializeUser(async (user, done) => {
  console.log('序列化用户');
  try {
    done(null, user.id);
  } catch (err) {
    done(err);
  }
});

同时确认你的passport、passport-local、express-session等依赖的版本是否匹配，比如passport@0.6.x搭配express-session@1.17.x是比较稳定的组合，版本差距太大容易出问题。

2. 检查Profile路由的中间件顺序与配置 #

确保你的受保护路由正确挂载了Passport的认证中间件，并且中间件顺序没有错误：

• 必须先挂载express-session，再挂载passport.initialize()和passport.session()
• Profile路由的定义应该是类似这样：

app.get('/profile', passport.authenticate('local', { failureRedirect: '/login' }), (req, res) => {
  res.json(req.user);
});

如果省略了passport.authenticate中间件，或者中间件放在了路由处理函数之后，都会导致未授权提示。另外注意如果你的认证策略不是local，要换成对应的策略名称（比如jwt等）。

3. 排查序列化/反序列化流程 #

这是Passport维持登录状态的核心环节，如果这两个函数没正确执行，就算认证成功，后续请求也无法识别用户：

• 在serializeUser和deserializeUser里都加上console.log，看是否有输出。如果没有，说明Passport的session中间件没正确初始化，或者用户登录时的策略回调没调用done(null, user)来触发序列化。
• 确认deserializeUser能正确根据序列化的用户ID查询到用户，比如：

passport.deserializeUser(async (id, done) => {
  console.log('反序列化用户ID:', id);
  try {
    const user = await User.findById(id);
    done(null, user);
  } catch (err) {
    done(err);
  }
});

如果查询不到用户，req.user会是undefined，自然会触发未授权。

4. 验证Session与Cookie的传递 #

你提到Postman验证注册和认证正常，但要确认：

• 认证成功后，服务器是否返回了session cookie？在Postman的响应头里看有没有Set-Cookie字段。
• 访问Profile路由时，Postman是否自动携带了这个cookie？可以在请求头里检查Cookie字段是否存在。如果没携带，就算登录成功，请求也会被视为未登录状态。可以在Postman的请求设置里开启“Send cookies”选项，或者手动添加cookie。

5. 检查认证策略的回调逻辑 #

如果你的Local策略回调写法不符合新版本要求，可能会导致用户认证成功但session没被正确创建：
比如旧的Local策略写法：

passport.use(new LocalStrategy((username, password, done) => {
  User.findOne({ username }, (err, user) => {
    if (err) return done(err);
    if (!user) return done(null, false);
    user.comparePassword(password, (err, isMatch) => {
      if (err) return done(err);
      if (isMatch) return done(null, user);
      return done(null, false);
    });
  });
}));

改成async/await版本试试，避免回调嵌套导致的问题：

passport.use(new LocalStrategy(async (username, password, done) => {
  console.log('执行Local策略验证');
  try {
    const user = await User.findOne({ username });
    if (!user) return done(null, false, { message: '用户不存在' });
    const isMatch = await user.comparePassword(password);
    if (isMatch) return done(null, user);
    return done(null, false, { message: '密码错误' });
  } catch (err) {
    return done(err);
  }
}));

这样能确保回调里的逻辑被正确执行，并且正确触发用户序列化。

内容的提问来源于stack exchange，提问作者Jonathan Schroeder