如何用JWT+Auth0防止用户修改他人资源？求通用实现方案

主流做法是彻底去掉URL/请求参数中的userId传递，完全依赖JWT令牌里的用户身份信息完成权限校验，既避免参数冗余，也减少前端篡改的风险，具体实现方式如下：

• 中间件自动注入用户身份
  在JWT验证中间件中，解析令牌后直接把sub字段的userId注入到请求上下文（比如后端框架的req.user.id、ctx.user.id这类对象），后续所有业务接口都直接从这个上下文取用户ID，不需要前端传。
  举个Node.js Express的例子：

  // JWT验证中间件
  function authenticateToken(req, res, next) {
    const token = req.headers['authorization']?.split(' ')[1];
    if (!token) return res.sendStatus(401);
    jwt.verify(token, process.env.JWT_SECRET, (err, user) => {
      if (err) return res.sendStatus(403);
      // 把用户ID注入请求对象
      req.user = { id: user.sub };
      next();
    });
  }
  
  // 后续接口直接用req.user.id
  app.put('/v1/todo/post/:postId', authenticateToken, (req, res) => {
    const postId = req.params.postId;
    const currentUserId = req.user.id;
    // 业务逻辑：查询post对应的userId，和currentUserId对比
    const post = getPostById(postId);
    if (post.userId !== currentUserId) {
      return res.sendStatus(403);
    }
    // 执行修改操作
    updatePost(postId, req.body);
    res.sendStatus(200);
  });
  

• RESTful风格的端点设计
  资源端点只关注资源本身的ID，比如修改单条todo的接口设计成/v1/todo/post/:postId（而非带userId），后端通过资源ID查询其归属的用户ID，再和JWT解析出的用户ID做对比，判断是否有权限操作。
  批量查询自己的todo时，接口直接设计成/v1/todo/posts，后端自动用当前用户ID过滤数据，不需要前端传userId参数。

• 角色权限的扩展处理
  如果存在管理员、普通用户等多角色场景，中间件可以先解析用户角色：

  • 若为管理员，跳过资源归属校验，允许操作所有用户的资源
  • 若为普通用户，必须校验资源归属的用户ID和当前用户ID一致

这种方案的核心是后端完全掌控用户身份的真实性，不需要依赖前端传递的用户标识，从根源上避免了前端篡改userId参数越权的风险，同时让接口设计更简洁符合REST规范。

内容的提问来源于stack exchange，提问作者poo