Passport.JS报错：Failed to deserialize user out of session 求助

嘿，我一眼就揪出问题所在了——你的LocalStrategy认证逻辑犯了个关键错误：当密码验证通过时，你给Passport传递的是true而不是用户的唯一标识（比如用户ID），这直接导致session里存的是布尔值true，后续反序列化时自然找不到对应的用户！

问题根源分析 #

看这段出问题的代码：

if(bcrypt.hashSync(password, salt) === results[0].password) {
    //Success
    return done(null, true); // 这里完全错了！
}

Passport的done回调在认证成功时，第二个参数必须传递用户对象或者用户的ID，而不是true。你现在传了true，serializeUser就会把这个布尔值存入session，等到deserializeUser执行时，拿到的user_id就是true——用这个值去查数据库，当然找不到用户，进而抛出反序列化失败的错误。

修复步骤 #

1. 修正LocalStrategy的成功回调 #

当密码验证通过后，应该返回用户的ID（或者整个用户对象），同时建议用bcrypt.compareSync来验证密码，比手动hash再对比更安全可靠：

passport.use(new LocalStrategy(
    function(username, password, done) {
        connection.query('SELECT id, password FROM users WHERE email = ?', [username], function(err, results, fields){
            if(err) { return done(err); } // 错误处理要记得return，避免后续代码执行
            if(results.length === 0) { 
                return done(null, false, { message: '该邮箱未注册' }); // 可以加明确的错误提示
            } 
            // 用bcrypt自带的compare方法验证密码，无需手动处理salt
            const isValidPassword = bcrypt.compareSync(password, results[0].password);
            if(isValidPassword) {
                // 成功时返回用户的ID，这才是Passport需要的标识
                return done(null, results[0].id);
            } else {
                return done(null, false, { message: '密码错误' });
            }
        });
    }
));

小提示：通常bcrypt的hash结果里已经包含了salt，所以不需要单独存salt字段，直接把hash后的密码存在password字段里就好，能简化代码。

2. 确保序列化与反序列化逻辑匹配 #

你的serializeUser和deserializeUser本身逻辑没问题，但现在要确保传入的是正确的用户ID：

passport.serializeUser(function(user_id, done){
    console.log('序列化用户ID:', user_id); // 现在应该打印数字ID，而不是true
    done(null, user_id);
});

passport.deserializeUser(function(user_id, done){
    console.log('反序列化用户ID:', user_id);
    // 这里的user_id现在是合法的数字ID，能正确查询用户
    connection.query('SELECT * FROM users WHERE id = ?', [user_id], function (err, rows){
        if(err) { return done(err); }
        done(null, rows[0]); // 查询到的用户对象会挂载到req.user上
    });
});

3. 清理旧session并创建测试用户 #

因为之前的session里已经存了错误的true值，所以需要：

• 再次清空sessions表
• 在users表中创建一个测试用户（记得用bcrypt生成正确的密码hash），比如：

INSERT INTO users (first_name, last_name, email, password, created, modified, user_role)
VALUES ('测试', '用户', 'test@example.com', '$2b$10$你的bcrypt密码hash', NOW(), NOW(), 'user');

可以用bcrypt.hashSync('你的测试密码', 10)生成合法的密码hash。

4. 额外优化建议 #

• 生产环境中建议把session配置里的resave: true和saveUninitialized: true改成resave: false、saveUninitialized: false，更安全且符合最佳实践
• 可以配合connect-flash中间件，让passport.authenticate支持failureFlash选项，方便前端显示错误提示
• 数据库查询的错误处理要完整，避免遗漏异常

测试验证 #

修复后重启服务器，用测试用户登录：

1. 登录成功时，serializeUser会打印正确的数字用户ID
2. 刷新页面，deserializeUser会拿到相同的ID，成功查询到用户对象，不会再出现反序列化错误

内容的提问来源于stack exchange，提问作者Elias