Passport会话失效问题：Express登录系统中req.user未定义、req.isAuthenticated()返回false

嘿，我来帮你搞定这个头疼的登录验证问题！你遇到的req.user始终为undefined、req.isAuthenticated()一直返回false的情况，大概率是Passport的配置或者中间件加载顺序出了纰漏，我整理了几个最常见的排查方向，你可以逐一检查：

1. 核对中间件的加载顺序 #

Express的中间件是按代码顺序执行的，这个顺序错了就会直接导致Passport无法正常工作。正确的加载顺序必须是：

• 先加载express-session中间件
• 再初始化Passport的initialize()和session()中间件
• 最后挂载你的业务路由

举个正确的示例：

const express = require('express');
const session = require('express-session');
const passport = require('passport');

const app = express();

// 1. 先配置session
app.use(session({
  secret: 'your-strong-secret-key', // 必须设置一个安全的密钥
  resave: false,
  saveUninitialized: false
}));

// 2. 初始化Passport
app.use(passport.initialize());
app.use(passport.session());

// 3. 最后挂载路由
app.use('/', require('./routes'));

如果把Passport的中间件放在session之前，或者路由放在Passport中间件之前，Passport就无法读取session中的用户信息，自然识别不到已登录状态。

2. 确认序列化/反序列化函数配置正确 #

Passport依赖serializeUser和deserializeUser这两个函数来管理用户与session的关联，这俩函数如果没写或者写错，req.user肯定会是undefined。

正确的实现示例（假设你用Mongoose操作用户数据）：

passport.serializeUser((user, done) => {
  // 把用户唯一标识（比如id）存入session
  done(null, user.id);
});

passport.deserializeUser((id, done) => {
  // 根据session中的id，从数据库取出完整用户对象，挂载到req.user上
  User.findById(id, (err, user) => {
    done(err, user);
  });
});

注意：deserializeUser里的查询逻辑必须能正确拿到用户数据，如果数据库查询出错或者找不到用户，也会导致req.user无法正常挂载。

3. 检查登录路由的Passport调用是否规范 #

登录时的Passport调用必须确保用户验证通过后，正确完成登录流程：

• 如果用默认的authenticate回调，要确保策略中正确调用了done(null, user)（验证成功时）
• 如果用自定义回调，必须手动调用req.login()，否则用户不会被标记为已登录

示例1：默认回调写法

app.post('/login', passport.authenticate('local', {
  successRedirect: '/dashboard', // 验证成功跳转
  failureRedirect: '/login'      // 验证失败跳转
}));

示例2：自定义回调写法（需手动调用req.login）

app.post('/login', (req, res, next) => {
  passport.authenticate('local', (err, user, info) => {
    if (err) return next(err);
    if (!user) return res.redirect('/login?error=invalid');
    
    // 关键：调用req.login把用户存入session
    req.login(user, (err) => {
      if (err) return next(err);
      return res.redirect('/dashboard');
    });
  })(req, res, next);
});

要是漏掉了req.login()，哪怕用户验证通过了，session里也不会存入用户信息，Passport自然识别不到已登录状态。

4. 验证session配置的有效性 #

• 确保express-session的secret字段是一个非空的、安全的字符串，这个是session加密的关键
• 如果使用了第三方session存储（比如connect-mongo），要确认存储连接正常，session数据能被正确保存和读取
• 开发环境下，不要把cookie.secure设为true（这个选项只适用于HTTPS环境），否则浏览器会拒绝保存session cookie

5. 检查请求是否携带了session cookie #

你可以在浏览器的开发者工具（Application -> Cookies）里查看是否存在对应的session cookie：

• 如果没有session cookie，说明express-session配置有问题，或者请求没有正确携带cookie
• 如果有cookie，但req.user还是undefined，那大概率是Passport的序列化/反序列化环节出了问题

内容的提问来源于stack exchange，提问作者MI Sabic