Express中同一REST API端点能否按用户角色返回不同JSON？

1. 实现方案：通过请求头获取角色并返回不同响应 #

完全可以通过请求头获取登录用户角色来实现这个需求，在Express里的具体实现步骤如下：

步骤1：验证身份并解析用户角色 #

首先需要通过中间件处理请求头里的身份凭证（比如JWT令牌），验证通过后将用户角色挂载到请求对象上：

// 身份验证中间件
const authenticate = (req, res, next) => {
  const token = req.headers.authorization?.split(' ')[1];
  if (!token) {
    return res.status(401).json({ error: '未授权' });
  }
  // 示例用JWT解析，实际可根据你的认证方式调整
  try {
    const decoded = jwt.verify(token, process.env.JWT_SECRET);
    req.user = { role: decoded.role, id: decoded.id };
    next();
  } catch (err) {
    return res.status(403).json({ error: '令牌无效' });
  }
};

步骤2：根据角色筛选返回数据 #

在api/colleagues/:id端点中，先查询完整的同事数据，再根据当前用户的角色过滤返回字段：

app.get('/api/colleagues/:id', authenticate, async (req, res) => {
  try {
    // 从数据库获取完整同事数据
    const colleague = await Colleague.findById(req.params.id);
    if (!colleague) {
      return res.status(404).json({ error: '同事不存在' });
    }

    // 根据角色生成响应数据
    let responseData;
    if (req.user.role === 'supervisor') {
      responseData = {
        firstname: colleague.firstname,
        lastname: colleague.lastname,
        contact: colleague.contact
      };
    } else if (req.user.role === 'manager') {
      responseData = {
        firstname: colleague.firstname,
        lastname: colleague.lastname,
        contact: colleague.contact,
        dob: colleague.dob,
        address: colleague.address
      };
    } else {
      return res.status(403).json({ error: '无访问权限' });
    }

    res.json(responseData);
  } catch (err) {
    res.status(500).json({ error: '服务器错误' });
  }
});

2. 是否符合REST规范？ #

这种做法完全符合REST的核心设计原则，原因如下：

• REST的核心是资源的统一标识，api/colleagues/5唯一对应"ID为5的同事"这个资源，不同角色获取的是该资源的不同表示形式，这和根据Accept头返回JSON/HTML的逻辑本质一致——都是根据请求上下文返回资源的适配版本。
• 角色属于请求的上下文信息（用户身份），而非资源本身的属性，将角色作为路径一部分拆分端点（比如api/supervisor/colleagues/5）反而会破坏资源标识的唯一性，属于冗余设计，你的判断是正确的。

额外注意事项 #

• 务必保证角色验证的安全性，避免角色被伪造，推荐使用签名的JWT令牌而非明文传递角色。
• 可以将字段筛选逻辑封装成工具函数，减少重复代码：

const filterColleagueData = (colleague, role) => {
  const baseFields = { firstname: colleague.firstname, lastname: colleague.lastname, contact: colleague.contact };
  return role === 'manager' ? { ...baseFields, dob: colleague.dob, address: colleague.address } : baseFields;
};

内容的提问来源于stack exchange，提问作者Colin-G-Davidson