Node.js中用JWT保护/homepage路由？登录后无法访问问题求助

一、确认请求是否正确携带Token #

前端请求/homepage时，必须把localStorage中的token以Authorization: Bearer <token>的格式放到请求头里。

• 示例Axios请求代码：

axios.get('/homepage', {
  headers: {
    'Authorization': `Bearer ${localStorage.getItem('token')}`
  }
})

• 用浏览器开发者工具的Network面板查看请求头，确认Authorization字段存在且格式正确，避免遗漏Bearer 前缀。

二、检查AuthMiddleware的核心逻辑 #

你的中间件返回成功状态但路由仍拦截，大概率是中间件内部存在逻辑漏洞，重点排查以下几点：

1. Token提取是否正确
   确保从请求头正确提取token，不要忽略Bearer 前缀：

   const authHeader = req.headers.authorization;
   if (!authHeader || !authHeader.startsWith('Bearer ')) {
     return res.status(401).json({ message: 'authentification required' });
   }
   const token = authHeader.split(' ')[1];
   

2. JWT验证与密钥一致性
   验证时使用的密钥必须和登录生成token时的密钥完全一致（包括大小写、特殊字符）：

   const decoded = jwt.verify(token, process.env.JWT_SECRET);
   

3. 用户查询是否有效
   解析token后，要确保能通过userId查询到存在的用户：

   req.user = await User.findById(decoded.userId).select('-password');
   if (!req.user) {
     return res.status(401).json({ message: 'authentification required' });
   }
   

4. 必须调用next()
   验证通过后一定要调用next()，否则请求会被中间件拦截，无法进入后续路由处理。

三、排查前端路由守卫逻辑（SPA场景） #

如果是Vue/React这类单页应用，前端路由守卫的错误也会导致认证提示：

• 不要仅判断token是否存在，还要验证token是否有效（比如解析token检查过期时间）：

// React示例路由守卫
const PrivateRoute = ({ children }) => {
  const token = localStorage.getItem('token');
  
  const isTokenValid = () => {
    if (!token) return false;
    try {
      const decoded = jwt.decode(token);
      return decoded.exp * 1000 > Date.now(); // 检查是否过期
    } catch (err) {
      return false;
    }
  };

  return isTokenValid() ? children : <Navigate to="/login" />;
};

四、验证Token本身的有效性 #

• 用jwt.io解析token，检查payload中的userId是否正确、过期时间exp是否合理；
• 确认登录时生成token的代码中，expiresIn参数设置正确（比如'1h'表示1小时有效）。

内容的提问来源于stack exchange，提问作者John