API登录接口返回Unauthorized求助（Token配置后无控制台错误）

看起来你遇到的是passport-local验证阶段的细节问题——控制台没报错但返回401，大概率是验证逻辑的某个环节没匹配对，我给你梳理几个关键排查点：

1. 检查passport-local策略的字段匹配 #

默认的LocalStrategy会去请求体里找username和password字段，但你是用邮箱登录的，必须显式指定usernameField: 'email'，否则passport找不到验证用的用户名，直接返回401，而且控制台不会有错误提示（因为这属于“预期内”的验证失败）。

你的策略代码应该类似这样：

const LocalStrategy = require('passport-local').Strategy;

passport.use(new LocalStrategy({
  usernameField: 'email', // 必须指定这个，匹配你Postman传的email字段
  passwordField: 'password'
}, async (email, password, done) => {
  try {
    // 1. 查询数据库找对应用户
    const user = await User.findOne({ email });
    if (!user) {
      return done(null, false, { message: '用户不存在' });
    }
    // 2. 比对密码（注意要用哈希比对，比如bcrypt.compare，不能直接用==）
    const isPasswordValid = await bcrypt.compare(password, user.password);
    if (!isPasswordValid) {
      return done(null, false, { message: '密码错误' });
    }
    // 验证通过，返回用户对象
    return done(null, user);
  } catch (err) {
    return done(err);
  }
}));

2. 确认Postman的请求格式正确 #

• 确保POST请求的Content-Type是application/json，并且请求体是标准JSON：

  {
    "email": "test@example.com",
    "password": "your-password"
  }
  

• 如果用的是form-data或x-www-form-urlencoded，也要保证字段名是email和password，和策略里的配置完全一致。

3. 检查登录接口是否被错误添加了JWT验证中间件 #

登录接口本身是用来获取Token的，不需要加express-jwt的验证中间件。如果你的路由配置里不小心给/login加了authMiddleware，那请求时因为没有携带Token，会直接返回401。

正确的路由配置应该是：

// 登录接口：不需要JWT验证，直接走passport-local
api.post('/login', passport.authenticate('local', { session: false, scope: [] }), generateAccessToken, respond);

// 其他需要验证的接口：才加authMiddleware
api.get('/profile', authMiddleware, (req, res) => { ... });

4. 给passport验证加回调，打印具体错误信息 #

如果上面的排查都没问题，你可以修改passport的调用方式，手动捕获验证结果，把错误信息输出到控制台，这样就能精准定位问题：

api.post('/login', (req, res, next) => {
  passport.authenticate('local', { session: false, scope: [] }, (err, user, info) => {
    // 打印错误到控制台
    if (err) console.error('Passport验证错误:', err);
    if (!user) console.log('验证失败原因:', info?.message);
    
    if (err) return next(err);
    if (!user) return res.status(401).json({ message: info?.message || 'Unauthorized' });
    
    // 验证通过，把用户对象挂载到req，继续执行后续中间件
    req.user = user;
    next();
  })(req, res, next);
}, generateAccessToken, respond);

这样控制台就能输出具体的失败原因，比如“用户不存在”或“密码错误”，帮你快速解决问题。

内容的提问来源于stack exchange，提问作者Bryan Smalls