HTTP authentication тут не при чем. Просто представьте, что реализовываете стандартную (через POST параметры) username&password логин систему, так вот passport-local особо то и не экономит вам время делая все за вас, скорее он придает структуру в организации логики серверной аутентификации. Её лучше использовать в купе с остальными стратегиями (аут. через соц. сети), где passport действительно облегчает жизнь. Посмотрите
примеры, думаю должно стать понятно.