Strapi v4中使用API令牌模拟用户设置资源创建者的方案咨询

一、自定义中间件方案（无需插件） #

直接通过自定义中间件实现请求头指定管理员用户，步骤如下：

1. 创建中间件文件
   在src/middlewares下新建impersonate-admin.js：

module.exports = (config, { strapi }) => {
  return async (ctx, next) => {
    const adminId = ctx.request.headers['x-impersonate-admin-id'];
    // 仅当API令牌已认证且携带了管理员ID时处理
    if (adminId && ctx.state.user) {
      const adminUser = await strapi.db.query('admin::user').findOne({ where: { id: adminId } });
      if (adminUser) {
        // 将当前请求的用户替换为目标管理员
        ctx.state.user = adminUser;
      }
    }
    await next();
  };
};

2. 注册中间件
   修改config/middlewares.js，把自定义中间件放在strapi::auth之后：

module.exports = [
  'strapi::errors',
  'strapi::security',
  'strapi::cors',
  'strapi::poweredBy',
  'strapi::logger',
  'strapi::query',
  'strapi::body',
  'strapi::session',
  'strapi::favicon',
  'strapi::public',
  'strapi::auth',
  './middlewares/impersonate-admin',
];

3. 调用API时传递请求头
   发起请求时，除了标准的API令牌授权头，额外带上X-Impersonate-Admin-Id指定管理员ID：

curl -X POST http://your-strapi-domain/api/posts \
  -H "Authorization: Bearer YOUR_VALID_API_TOKEN" \
  -H "X-Impersonate-Admin-Id: 1" \
  -H "Content-Type: application/json" \
  -d '{"data": {"title": "Test Post"}}'

此时创建的资源会自动关联ID为1的管理员，created by字段不再为空。

二、插件方案（现成工具） #

如果不想自定义代码，可以使用适配Strapi v4的strapi-plugin-impersonate插件：

1. 安装插件

npm install strapi-plugin-impersonate

2. 配置插件权限
   在config/plugins.js中添加配置，限制可模拟的角色：

module.exports = ({ env }) => ({
  impersonate: {
    enabled: true,
    config: {
      allowedRoles: ['admin'], // 仅允许模拟管理员角色
    },
  },
});

3. 调用API
   请求时添加X-Impersonate-Id头指定管理员ID即可，插件会自动处理用户替换逻辑。

关键注意点 #

• 确保使用的API令牌拥有创建目标资源和读取管理员用户数据的权限
• 生产环境建议对模拟请求头做额外校验，比如只允许特定API令牌使用该功能，防止权限滥用
• 自定义中间件中可根据需求添加更多逻辑（如验证令牌所属角色）

内容的提问来源于stack exchange，提问作者Tony Bogdanov