如何用Passport实现仅未登录用户可通过通用令牌访问指定路由？

完全可以实现，核心思路是先拦截已登录用户，再验证通用令牌的有效性，具体步骤如下：

• 第一步：定义通用令牌的验证策略
  写一个自定义Passport策略，专门校验请求中的通用令牌是否合法。比如把令牌放在请求头x-public-token里：

  const passport = require('passport');
  const { Strategy } = require('passport-strategy');
  
  // 注册名为public-token的策略
  passport.use('public-token', new Strategy((req, done) => {
    const receivedToken = req.headers['x-public-token'];
    // 替换成你实际的通用令牌值
    const validPublicToken = 'your_global_public_token_here';
  
    if (receivedToken === validPublicToken) {
      done(null, true); // 令牌有效，验证通过
    } else {
      done(null, false, { message: '通用令牌无效' });
    }
  }));
  

  这个策略不需要关联用户会话，只做令牌有效性校验。

• 第二步：编写拦截已登录用户的中间件
  根据项目的认证方式（session/JWT），判断用户是否已登录，已登录则直接拒绝访问：

  // 示例：session认证用req.isAuthenticated()判断
  function blockAuthenticatedUsers(req, res, next) {
    if (req.isAuthenticated()) {
      return res.status(403).json({ message: '已登录用户无法访问此路由' });
    }
    // 如果是JWT认证，改成检查req.user是否存在
    // if (req.user) { ... }
    next();
  }
  

• 第三步：组合中间件到目标路由
  把两个中间件按顺序挂到/api/products路由上——先拦截已登录用户，再验证通用令牌：

  app.get('/api/products', 
    blockAuthenticatedUsers,
    passport.authenticate('public-token', { session: false }),
    (req, res) => {
      // 返回产品列表逻辑
      res.json(yourProductList);
    }
  );
  

  注意要加session: false，避免这个路由创建不必要的用户会话。

这样配置后，已登录用户访问该路由会直接返回403，只有未登录且携带有效通用令牌的请求才能拿到产品列表。

内容的提问来源于stack exchange，提问作者a_l_e_x