Passport.js isAuthenticated() 在 heroku 上總是返回 false，但在本地運行服務器時正常工作

Question

我正在使用 passport.js 進行身份驗證以及快速會話在客戶端上存儲 cookie。 此外，我的客戶是一個反應應用程序。 我仍然不確定這是服務器端問題還是客戶端問題。 無論如何，當我在本地運行我的節點服務器，然后從我的 react 應用程序登錄時，cookie 存儲在本地並且我已通過身份驗證，因此如果我訪問需要身份驗證的路由，我將獲得訪問權限。 但是，當我在 Heroku 和相同的 react 應用程序上運行相同的服務器代碼時，我從 React 應用程序登錄，護照。 驗證工作並將成功消息發送回客戶端但是由於某種原因現在如果我訪問受保護的路由，我的服務器無法驗證客戶端。 我知道 cookie 已存儲，因為一旦我切換到本地服務器，我就會再次通過身份驗證，這意味着 cookie 與客戶端一起存在。 我不確定問題是什么。

Node.js 服務器代碼BACKEND

    const app = express();
    
    mongoose.connect("mongodb+srv://admin:" + process.env.DBPASS + "@cluster0.xpbd4.mongodb.net/" + process.env.DBNAME + "?retryWrites=true&w=majority", {
      useNewUrlParser: true,
      useUnifiedTopology: true
    });
    mongoose.set("useCreateIndex", true);
    
    app.use(cors({origin: "http://localhost:3000", credentials: true}));
    app.use(bodyParser.urlencoded({
      extended: true
    }));
    app.enable('trust proxy'); // add this line
    app.use(session({
      secret: process.env.SECRET,
      resave: false,
      saveUninitialized: false,
      store: new MongoStore({ mongooseConnection: mongoose.connection })
    }));
    app.use(passport.initialize());
    app.use(passport.session());
    
    passport.use(User.createStrategy());
    passport.serializeUser(function(user, done) {
      console.log("serializing user")
      done(null, user.id);
    });
    passport.deserializeUser(function(id, done) {
      console.log("deserializeUser called: " + id)
      User.findById(id, function(err, user) {
        done(err, user, function(){
          console.log("deserializeUserError: " + err)
        });
      });
    });

登錄路徑

    app.post("/login", function(req, res) {
      const user = new User({
        email: req.body.email,
        password: req.body.password
      });
      req.login(user, function(err) {
        console.log("req.login called")
        if (err) {
          console.log(err)
          res.send("Nuts! An unknown error occured")
        } else {
          passport.authenticate("local")(req, res, function() {
            res.send("success")
          });
        }
      });
    });

告訴用戶他們是否經過身份驗證的路由。 當服務器在 Heroku 上時返回 false，但在本地運行時返回 true。

    app.get("/user/auth", function(req, res){
      console.log("auth called");
      if (req.isAuthenticated()) {
        res.send("true")
      } else {
        res.send("false")
      }
    })

我登錄用戶的前端React App

    function submit(event){
        event.preventDefault();
        axios({
          method: 'post',
          data: Querystring.stringify(user),
          withCredentials: true,
          url: props.serverURL + '/login',
          headers: {
            'Content-type': 'application/x-www-form-urlencoded'
          }
        }).then(res => {
          console.log("resdata: " + res.data)
          if (res.data === "success"){
            props.reAuth();
            props.history.push('/');
          }else{
            setResult((prevValue) => {
              return (
                res.data.toString()
              )
            });
          }
        }).catch(function(err){
          setResult((prevValue) => {
            return (
              "Invalid email or password"
            )
          });
        })
      }

最近應用程序中檢查身份驗證的部分

    function reAuth(){
        axios.get(serverURL + "/user/auth", {withCredentials: true}).then(res => {
          console.log(res.data)
          setAuth(res.data)
        })
      }

Answer 1

我遇到了一個問題，我的護照會話無法在 res.redirect 中存活，我發現我在序列化和反序列化函數中缺少一個 return 語句，即使我在本地運行它可能會為你解決問題

passport.serializeUser(function(user, done) {
  console.log("serializing user")
  return done(null, user.id);
});
passport.deserializeUser(function(id, done) {
  console.log("deserializeUser called: " + id)
  User.findById(id, function(err, user) {
    return done(err, user, function(){
      console.log("deserializeUserError: " + err)
    });
  });
});

Answer 2

我在將 MERN 應用程序部署到 Heroku 時遇到了類似的問題，發現這個答案很有幫助： https ://stackoverflow.com/a/66395281/16921734。

實質上，您需要將以下內容添加到會話配置中：

• 代理：真
• 相同站點：“無”

將 sameSite 設置為 none 允許瀏覽器設置跨域 cookie，默認情況下禁用。

有了這個，我的會話配置如下所示：

const sessionConfig={
  store:MongoDBStore.create({ mongoUrl:dbUrl}),
  secret:'thisisnotagoodsecret', 
  resave: false, 
  saveUninitialized: true,
  cookie: {
    httpOnly:true,
    secure:true, 
    maxAge: 1000*60*60*24*7,  
    sameSite:'none',
  },
  proxy: true,
};

app.use(session(sessionConfig));

希望這可以幫助！