Похоже passport хранит все свои данные в req.session, т.е. использует express-session для работы. И все данные аутенитификации привязаны к cookie выдаваемым express-session. Если юзер залогинился то появляется req.session.passport.user, где хранятся данные юзера в сериализованном виде. Которые потом десереализуются в req.user из базы данных или ещё откуда. А если запись из базы данных, то в этой записи и должны лежать все нужные данные пользователя, включая username. Если брать оттуда по каким-то причинам неудобно, то сделай миддлвейр который будет записывать их в res.locals, так они сбросятся в конце жизни реквеста. Потому что если добавить его в req.session, то когда пользователь разлогинится то юзернейм останется там и его надо будет удалять вручную.