Passport-local: Parameter sesi: salah tidak berfungsi

Saya mencoba contoh kode paspor-lokal-contoh ini dan menerapkan parameter ke strategi lokal.

//express-4.x-local-example/server.js
passport.use(new LocalStrategy({
  usernameField: 'email',
  passwordField: 'passwd',
  passReqToCallback: true,
  session: false
}, function(req, username, password, done) {
  // request object is now first argument
  // ...
  }));

Namun, sepertinya sesi itu masih digunakan. Saya bisa mendapatkan kata sandi pengguna dari req.session.user.

Hanya username , password, callback yang disetel di lib ini.

//passport-local/lib/strategy.js
function Strategy(options, verify) {
  if (typeof options == 'function') {
    verify = options;
    options = {};
  }
  if (!verify) { throw new TypeError('LocalStrategy requires a verify callback'); }

  this._usernameField = options.usernameField || 'username';
  this._passwordField = options.passwordField || 'password';

  passport.Strategy.call(this);
  this.name = 'local';
  this._verify = verify;
  this._passReqToCallback = options.passReqToCallback;
}

Saya tidak memiliki pengalaman dalam keamanan. Apakah benar saya bisa mendapatkan kata sandi pengguna di req.user.password?
Apakah ini tidak aman?