Почему паспорт.serializeUser выполняется при каждом запросе?

Что касается вашего вопроса о том, почему passport.authenticate вызывается при каждом запросе, это потому, что вы определили его как промежуточное программное обеспечение, возможно, до того, как произойдет какая-либо логика маршрутизации.

Если в вашем приложении есть частные разделы и public, вы можете сделать что-то вроде этого:

// Define a specific that will handle authentication logic
app.get("/auth", passport.authenticate('facebook-token',function(){...});

// Public sections which do not require authentication
app.get("/public1",...);
app.post("/public2",...);

// Private sections which do require authentication
app.get("/private1", function(req,res,next){
   if (req.isAuthenticated()){ // Check if user is authenticated
       // do things...
   }else{ // Wow, this guy is not authenticated. Kick him out of here !
       res.redirect("/auth");
   }
});

Теперь, если у вас есть несколько приватных разделов, вам, вероятно, покажется немного утомительным делать одно и то же для каждого приватного раздела. Вы можете определить пользовательскую функцию, которая будет проверять, аутентифицирован ли пользователь, и разрешать выполнение запроса, если он аутентифицирован. Что-то типа

function isThisGuyAuthenticated(req,res,next){
   if (req.isAuthenticated()){
      return next(); // Ok this guy is clean, please go on !
   }else{
      res.redirect("/auth"); // This guy is shady, please authenticate !
   }
}

И используйте его как:

app.get("/private1",isThisGuyAuthenticated, doCrazySecretStuff); // doCrazySecretStuff will not be called if the user is not authenticated
app.get("/private2", isThisGuyAuthenticated, getCocaColaRecipe);
app.get("/private3", isThisGuyAuthenticated, flyToMars);
app.get("/public", showInfo); // showInfo will be called whether the user is authenticated or not

Теперь, если ваше приложение имеет только частные разделы, вы можете избежать повторных вызовов isThisGuyAuthenticated, определив его как промежуточное ПО (но не определяя сам passport.authenticate как промежуточное ПО!);

// Endpoint that will be hit is the user is redirected to /auth
// BEWARE it needs to be above the middleware, otherwise you'll end up with an infinite redirection loop
app.get("/auth", passport.authenticate('facebook-token',function(){...});

// Middleware that will be called on every request
app.use(isThisGuyAuthenticated);

// You app's endpoints
app.get("/private1", doCrazySecretStuff); // doCrazySecretStuff will not be called if the user is not authenticated
app.get("/private2", getCocaColaRecipe);
app.get("/private3", flyToMars);

Это ясно?

EDIT: я по ошибке поместил промежуточное ПО перед конечной точкой "/auth". Убедитесь, что он размещен после