Вся прелесть ситуации что все контролеры что перед login работают адекватно.
Тогда, возможно, ошибка кроется в роутере подключенном непосредственно перед login.
Не вижу у вас подключенного
errorhandler, он бы помог локализовать ошибку.
для статики используй
serve-static
вместо друшлака bodyParser используй
body
вместо logger все уже года три как используют
morgan.
Формочку входа прикрутили а где же обработка сессий? вот
тут