Express中Passport JWT Token认证返回Unauthorized问题求助

算力阿峰

2026-5-21

排查JWT认证返回"unauthorized"的常见问题

嘿，我来帮你搞定这个JWT认证的问题！先看你贴的passport.js代码片段，第一眼就发现个可能的小疏漏——你定义了opts对象，但后面截断的部分写成了opt...（少了个s），这大概率是第一个坑。不过咱们把所有常见的排查点都过一遍，确保覆盖到所有可能的原因：

先修正配置对象的拼写错误
你代码里写了let opts = {};，但后续配置的时候如果写成opt.jwtFromRequest这种（少了s），整个JWT策略的配置就完全失效了，肯定会返回未授权。先把这个拼写问题改过来，确保配置项都挂在opts上：
```
let opts = {};
// 这里根据你前端传Token的方式选对应的提取方法
opts.jwtFromRequest = extractJwt.fromAuthHeaderAsBearerToken();
// 重点：这个密钥必须和你生成JWT时用的完全一致
opts.secretOrKey = config.secret;
```
确认Token生成与验证的密钥完全一致
这是最容易踩的坑之一！生成JWT时用的密钥，比如jwt.sign(userData, 'myTopSecret123', { expiresIn: '2h' })里的'myTopSecret123'，必须和passport配置里的opts.secretOrKey完全匹配——大小写、空格、特殊符号都不能错，哪怕差一点都会导致验证失败。
检查Token的传递与提取方式匹配
前端传递Token的位置要和后端extractJwt的提取方法对应：
- 如果是放在Authorization: Bearer <token>头里，就用extractJwt.fromAuthHeaderAsBearerToken()
- 如果是放在URL参数（比如?token=xxx），就用extractJwt.fromUrlQueryParameter('token')
- 如果存在Cookie里，就要自定义提取器：extractJwt.fromExtractors([(req) => req.cookies.yourTokenName])
  要是前端传的位置和后端取的位置对不上，passport拿不到Token，自然返回unauthorized。

验证Payload里的用户标识是否正确查询用户
在JWT策略的回调里，你需要根据Payload里的用户ID去数据库查用户，确保用户存在：

passport.use(new jwtStrategy(opts, (jwt_payload, done) => {
    // 注意：这里的jwt_payload._id要和你生成Token时存的字段一致，比如有的是userId
    User.findById(jwt_payload._id, (err, user) => {
        if (err) return done(err, false);
        if (user) return done(null, user); // 用户存在，认证通过
        return done(null, false); // 用户不存在，返回未授权
    });
}));

要是你生成Token时存的是userId，这里写成_id就会查不到用户，直接返回unauthorized。

检查Token是否过期
如果生成Token时设置了过期时间（比如expiresIn: '1h'），那过期后的Token会被passport直接拒绝。你可以用jwt.verify(token, yourSecret)手动验证一下，看看有没有TokenExpiredError的错误。
确保路由正确使用了认证中间件
你的受保护路由必须加上passport.authenticate('jwt', { session: false })这个中间件，比如：
```
router.get('/user/profile', passport.authenticate('jwt', { session: false }), (req, res) => {
    res.json({ user: req.user });
});
```
要是路由没加这个中间件，或者中间件写错了策略名（比如写成了'local'），也会导致认证失败。

如果把这些点都排查完还是有问题，建议把完整的passport.js代码和你生成JWT的代码贴出来，这样能更精准地定位问题~

内容的提问来源于stack exchange，提问作者Stoufa Gheribi