Passport-JWT策略未触发问题排查求助

我来帮你梳理下passport-jwt策略没被调用的几个高频问题，结合你给出的代码片段，大概率是这些环节没做好：

1. secret变量未正确定义 #

你代码里用了secretOrKey: secret，但没看到这个变量的声明或导入。如果secret是undefined或者空字符串，策略会静默初始化失败，根本没法工作。记得从配置文件或环境变量里正确导入密钥：

// 示例：从配置文件导入
import { secret } from './config.js';
// 或者从环境变量获取
const secret = process.env.JWT_SECRET;

2. 忘记将策略注册到Passport #

你创建了JwtStrategy实例，但必须显式注册到Passport它才会生效！这是最容易漏掉的步骤，补上这行：

let strategy = new JwtStrategy(opts, (payload, done) => {
  console.log("Strategy called");
  console.log(payload);
  // ... 你的逻辑
});
passport.use(strategy); // 关键：注册策略到Passport

3. Express应用未初始化Passport #

Passport需要在Express里挂载初始化中间件，否则它无法处理请求。在你的set函数里加上：

app.use(passport.initialize()); // 初始化Passport核心中间件

（如果不用session认证，不需要加passport.session()）

4. 路由未使用JWT认证中间件 #

就算策略配置全对，如果你没在需要保护的路由上用passport.authenticate('jwt', { session: false })，策略也不会被触发。比如：

// 示例：保护/api/protected路由
app.get('/api/protected', passport.authenticate('jwt', { session: false }), (req, res) => {
  res.json({ message: "这是受保护的内容" });
});

这里的'jwt'是策略的默认名称，如果你注册时自定义了名称，要对应上。

5. 请求的JWT格式不符合要求 #

你的策略用了ExtractJwt.fromAuthHeaderAsBearerToken()，这要求请求头的Authorization必须是Bearer <你的JWT token>格式。如果请求头写错了（比如直接放token、拼写bearer小写虽然大部分情况不影响，但最好严格按规范），Passport提取不到token，策略自然不会触发。用curl测试的话：

curl -H "Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9..." http://localhost:3000/api/protected

6. JWT本身无效 #

如果JWT过期、签名和secretOrKey不匹配，Passport会直接返回401，但不会进入你的策略回调函数。可以用JWT解码工具验证token的合法性和签名是否正确。

补全后的示例代码 #

import passport from "passport";
import passportJWT from "passport-jwt";
import { secret } from './config.js'; // 确保密钥正确导入

const ExtractJwt = passportJWT.ExtractJwt;
const JwtStrategy = passportJWT.Strategy;

export const set = app => {
  // 初始化Passport
  app.use(passport.initialize());

  const opts = {
    secretOrKey: secret,
    jwtFromRequest: ExtractJwt.fromAuthHeaderAsBearerToken()
  };

  const strategy = new JwtStrategy(opts, (payload, done) => {
    console.log("Strategy called");
    console.log(payload);
    // 这里可以添加用户查询逻辑，比如：
    // User.findById(payload.userId)
    //   .then(user => done(null, user))
    //   .catch(err => done(err, false));
  });

  // 注册策略
  passport.use(strategy);
};

内容的提问来源于stack exchange，提问作者Mendes