基于JWT验证中间件跨API鉴权：方案二是否可行？如何实现？

首先明确：方案二完全可行，但你给出的伪代码写法存在错误，不能直接把URL作为路由处理函数。下面是具体的实现思路和配置步骤：

核心思路 #

将原用户API中的verifyToken中间件抽离为独立的可复用模块，让新API直接引入该模块完成鉴权，而非通过HTTP请求调用原API的中间件。这种方式既能避免重复代码，又能保证鉴权逻辑的一致性。

具体配置步骤 #

1. 抽离共享鉴权中间件 #

在原用户API项目中，把verifyToken中间件单独放到一个可导出的文件中，例如middlewares/verifyToken.js：

// middlewares/verifyToken.js
const jwt = require('jsonwebtoken'); // 假设使用jsonwebtoken库实现JWT校验

const verifyToken = (req, res, next) => {
  // 从请求头获取令牌（示例逻辑，可根据实际调整）
  const token = req.headers.authorization?.split(' ')[1];
  if (!token) {
    return res.status(401).json({ message: '未提供有效令牌' });
  }

  try {
    // 校验Access令牌有效性，密钥需与生成令牌时一致
    const decoded = jwt.verify(token, process.env.JWT_SECRET);
    req.user = decoded; // 将解析后的用户信息挂载到req对象，供后续业务逻辑使用
    next();
  } catch (err) {
    // 处理令牌过期、无效等情况，可根据需求添加刷新令牌的逻辑
    return res.status(403).json({ message: '令牌无效或已过期' });
  }
};

module.exports = verifyToken;

2. 共享中间件模块 #

你可以通过以下两种方式让新API访问到这个中间件：

• 本地共享：若两个API项目在同一服务器或本地开发环境，可将中间件文件放到公共目录，或通过软链接让两个项目都能引用。
• 私有npm包：若为团队协作或多服务器部署，可将该中间件打包成私有npm包，发布到私有仓库，在原API和新API项目中分别安装使用。

3. 新API中复用中间件 #

在新API项目中，直接引入抽离好的verifyToken中间件，像原API一样用于保护路由：

// 新API的路由文件
const express = require('express');
const router = express.Router();
// 引入共享的鉴权中间件（路径根据实际情况调整，或引入私有包）
const verifyToken = require('../shared/middlewares/verifyToken');
const otherController = require('./controllers/otherController');

// 受保护的业务路由，先通过verifyToken鉴权，再执行业务逻辑
router.post('/otherendpoint', verifyToken, otherController.handleRequest);

module.exports = router;

4. 特殊场景：HTTP调用鉴权服务（备选方案） #

如果你的业务场景要求两个API完全独立部署、无法共享代码，可以通过HTTP请求调用原API的鉴权接口实现：

• 原API新增一个专门的鉴权接口，内部调用verifyToken逻辑并返回结果
• 新API通过中间件发起HTTP请求到该接口，根据返回结果决定是否放行

原API新增鉴权接口：

// 原API路由
router.post('/verify-token', verifyToken, (req, res) => {
  // 鉴权通过后返回用户信息
  res.json({ valid: true, user: req.user });
});

新API中的HTTP鉴权中间件：

// 新API的鉴权中间件
const axios = require('axios');

const verifyTokenViaAPI = async (req, res, next) => {
  try {
    const token = req.headers.authorization?.split(' ')[1];
    if (!token) {
      return res.status(401).json({ message: '未提供有效令牌' });
    }

    // 调用原API的鉴权接口
    const response = await axios.post('http://原API地址/api/verify-token', { token });
    if (response.data.valid) {
      req.user = response.data.user;
      next();
    } else {
      return res.status(403).json({ message: '令牌无效' });
    }
  } catch (err) {
    return res.status(500).json({ message: '鉴权服务异常' });
  }
};

// 新API的受保护路由
router.post('/otherendpoint', verifyTokenViaAPI, otherController.handleRequest);

注意：这种HTTP调用方式会增加网络开销，性能不如直接共享代码，仅建议在无法共享模块的场景下使用。

内容的提问来源于stack exchange，提问作者user2399035