使用passport-jwt+Sequelize保护API时始终返回401未授权求助

我帮你排查下几个大概率导致这个问题的细节，一个个来修复：

1. 请求头格式完全不匹配 #

你的Passport配置里用的是ExtractJwt.fromAuthHeaderWithScheme('Bearer')，这要求请求头必须是 Authorization: Bearer <你的Token>，但你在Postman里设置的是Authentication: JWT Token——不仅头字段名写错了（是Authorization不是Authentication），Scheme标识也不对（应该是Bearer而非JWT）。

修复方法：在Postman里把请求头改成Authorization: Bearer <你的Token>，注意大小写和空格都不能错。

2. RS256算法的密钥配置错误 #

RS256是非对称加密算法，签名Token时必须用私钥，而验证Token时必须用对应的公钥。你的代码里secretOrKey: config.jwtSecret，如果config.jwtSecret存的是签名用的私钥，那Passport这边的验证肯定会失败，因为它需要公钥来校验签名合法性。

修复方法：

• 确保你有一对配套的RSA密钥（私钥用于生成Token，公钥用于验证）
• 修改Passport配置，把secretOrKey替换成公钥内容：

  secretOrKey: config.jwtPublicKey, // 这里放公钥，不是私钥
  algorithms:['RS256']
  

• 签名Token时记得用私钥，示例代码：

  const jwt = require('jsonwebtoken');
  jwt.sign(
    { sub: user._id }, // 这里的sub要和后续查询的用户ID对应
    privateKey, // 签名用私钥
    { algorithm: 'RS256' },
    (err, token) => { /* 处理生成的Token */ }
  );
  

3. 用户查询的字段不匹配 #

你的代码里用User.findOne({id: jwt_payload.sub})查找用户，但如果你的User模型是基于MongoDB的，默认主键字段是_id而不是id。如果jwt_payload.sub存储的是用户的_id，这个查询会找不到用户，最终返回false触发401。

修复方法：把查询条件改成_id：

User.findOne({ _id: jwt_payload.sub }, function(err, user) {
  // 原有逻辑保持不变
});

另外建议你在Passport的回调里打印jwt_payload，确认sub的值和数据库里的用户ID完全匹配。

4. Passport初始化顺序有问题 #

在你的Index.Route.js里，先调用passport.initialize()再加载JWT策略，虽然偶尔能工作，但更稳妥的做法是在主app文件（比如app.js）里先配置好Passport策略，再初始化Passport并挂载路由。

调整示例：

// app.js里的代码
const passport = require('passport');
// 先加载Passport策略配置
require('./config/passport')(passport);

const app = express();
// 初始化Passport
app.use(passport.initialize());

// 最后挂载路由
const routes = require('./routes/index.route');
app.use('/api', routes);

这样能确保Passport在处理请求前已经加载了正确的验证策略。

额外排查小技巧 #

• 检查jwt_payload是否打印：如果Passport回调里没输出jwt_payload，说明Token根本没被正确提取或解析，问题出在请求头或密钥配置上。
• 手动验证Token：用jwt.verify()单独测试，比如：

  jwt.verify(yourToken, publicKey, { algorithms: ['RS256'] }, (err, payload) => {
    if (err) console.log(err); // 这里能直接看到验证失败的原因
    else console.log(payload);
  });
  

内容的提问来源于stack exchange，提问作者Rahul Goel