Express中间件中获取路由参数实现Discord管理员鉴权方案问询

方案一：直接从请求参数中动态获取Guild ID #

修改你的authenticateAdmin中间件，让它直接从req.params中提取路由参数guildId，无需提前传参。这样中间件可以直接挂载到目标路由上，利用Express路由解析后的参数进行校验：

// 管理员校验中间件
function authenticateAdmin(req, res, next) {
  const guildId = req.params.guildId;
  // 校验Guild ID是否存在
  if (!guildId) {
    return res.status(400).json({ error: 'Guild ID参数缺失' });
  }

  // 从已完成Discord认证的请求中获取用户ID（假设认证中间件已将用户信息挂载到req.user）
  const userId = req.user?.id;
  if (!userId) {
    return res.status(401).json({ error: '用户未完成认证' });
  }

  // 调用Discord API校验用户是否为该Guild的管理员
  discordApi.getGuildMember(guildId, userId)
    .then(member => {
      // 检查用户是否拥有管理员权限
      if (member.permissions.has('ADMINISTRATOR')) {
        next(); // 校验通过，进入后续路由处理
      } else {
        res.status(403).json({ error: '无Guild管理员权限' });
      }
    })
    .catch(err => {
      console.error('管理员权限校验失败:', err);
      res.status(500).json({ error: '权限校验服务异常' });
    });
}

// 路由挂载示例
router.patch('/set-bot-config-for-guild/:guildId', authenticateAdmin, (req, res) => {
  // 处理机器人配置修改逻辑
  res.status(200).json({ message: '配置修改成功' });
});

方案二：高阶函数封装，支持多来源Guild ID #

如果你的接口中Guild ID可能来自req.body、req.query等不同位置，可以用高阶函数封装中间件，让它支持指定Guild ID的来源，提升灵活性：

// 生成管理员校验中间件的高阶函数
function createAdminAuthenticator(guildIdLocation) {
  return (req, res, next) => {
    let guildId;
    // 根据指定位置提取Guild ID
    switch (guildIdLocation) {
      case 'params':
        guildId = req.params.guildId;
        break;
      case 'body':
        guildId = req.body.guildId;
        break;
      case 'query':
        guildId = req.query.guildId;
        break;
      default:
        return res.status(400).json({ error: '不支持的Guild ID来源配置' });
    }

    if (!guildId) {
      return res.status(400).json({ error: 'Guild ID参数缺失' });
    }

    const userId = req.user?.id;
    if (!userId) {
      return res.status(401).json({ error: '用户未完成认证' });
    }

    // 同样的权限校验逻辑
    discordApi.getGuildMember(guildId, userId)
      .then(member => {
        if (member.permissions.has('ADMINISTRATOR')) {
          next();
        } else {
          res.status(403).json({ error: '无Guild管理员权限' });
        }
      })
      .catch(err => {
        console.error('管理员权限校验失败:', err);
        res.status(500).json({ error: '权限校验服务异常' });
      });
  };
}

// 不同场景的路由使用示例
router.patch('/set-bot-config-for-guild/:guildId', createAdminAuthenticator('params'), (req, res) => {
  res.status(200).json({ message: '配置修改成功' });
});

router.post('/create-guild-channel', createAdminAuthenticator('body'), (req, res) => {
  res.status(201).json({ message: '频道创建成功' });
});

关键注意事项 #

• 确保Discord用户认证中间件（比如基于OAuth2的认证逻辑）在管理员校验中间件之前执行，保证req.user已包含用户的Discord ID。
• 路由参数guildId的解析依赖Express的路由匹配，所以管理员校验中间件必须挂载在具体路由上（而非全局app.use()），否则req.params会是空对象。

内容的提问来源于stack exchange，提问作者godraadam