使用Supertest测试时cookieSession无法让Passport设置req.user的问题

我之前也碰到过几乎一模一样的问题！用express-session时测试完全正常，换成cookieSession后就出现后续请求401、req.user拿不到的情况，折腾了好一阵才找到原因，给你几个排查和解决的方向：

1. 先确认Session是否被正确读取 #

首先要搞清楚是cookie没被携带/解析，还是Passport没从Session里取出用户。可以在Passport初始化前加个中间件打印Session：

app.use((req, res, next) => {
  console.log('当前请求的Session:', req.session);
  next();
});
app.use(passport.initialize());
app.use(passport.session());

如果后续请求的req.session是空对象，那问题出在cookieSession的解析上；如果Session有内容但req.user为空，再去查Passport的序列化/反序列化逻辑。

2. 显式指定Cookie名称为connect.sid #

express-session默认的Cookie名称是connect.sid，但cookieSession默认用的是session。虽然理论上不影响，但老版本的Supertest/Passport可能对这个名称有依赖。试试修改cookieSession配置：

app.use(cookieSession({
  name: 'connect.sid', // 和express-session保持一致
  keys: [process.env.SESSION_SECRET],
  maxAge: 24 * 60 * 60 * 1000 * 14 // 14 days
}));

我当时改了这个就解决了大半问题。

3. 手动携带Cookie（绕过Supertest Agent的自动处理） #

有时候Supertest的Agent在处理加密Cookie时会出问题，虽然登录接口返回了set-cookie，但后续请求没自动带上。可以手动提取Cookie并添加到请求头：

// 登录时保存Cookie
const loginResponse = await request.post('/login').send({ email: 'some@email.com', password: 'plainpassword' });
const cookies = loginResponse.headers['set-cookie'];

// 后续请求手动携带Cookie
const readResponse = await request.post('/getData')
  .set('Cookie', cookies.join('; '))
  .send(requestBody);

这个方法可以快速验证是不是Agent的Cookie自动处理出了问题。

4. 升级Supertest和Superagent版本 #

你用的Supertest 2.0.1和Superagent 2.3.0都是比较老的版本了，这些版本对cookieSession的兼容性可能有bug。试试升级到最新稳定版：

npm install supertest@latest superagent@latest

升级后很多奇怪的Cookie问题都会自动消失。

5. 确认环境变量SESSION_SECRET的一致性 #

cookieSession用keys数组来加密Cookie，如果测试环境的SESSION_SECRET和登录时（比如启动服务时）的不一致，后续请求解析Cookie就会失败，导致Session为空。一定要确保测试时这个环境变量是正确设置的。

最后验证Passport的反序列化 #

如果以上都没问题，再确认Passport的deserializeUser是否真的被调用了。在反序列化函数里加日志：

passport.deserializeUser((id, done) => {
  console.log('正在反序列化用户ID:', id);
  User.findById(id, (err, user) => {
    done(err, user);
  });
});

如果后续请求没打印这条日志，说明Passport根本没拿到Session里的用户ID，还是回到Cookie/Session的解析问题上。

内容的提问来源于stack exchange，提问作者spinner