能否在Strapi中实现自定义三字段认证，禁用默认认证并对接内部API？

1. 禁用Strapi默认认证体系 #

首先关掉Strapi自带的users-permissions插件，避免默认认证逻辑干扰。在config/plugins.js中添加配置：

module.exports = ({ env }) => ({
  'users-permissions': {
    enabled: false,
  },
});

如果是Strapi v4+，还需要在config/admin.js里修改默认认证提供者，跳过自带登录页：

module.exports = ({ env }) => ({
  auth: {
    secret: env('ADMIN_JWT_SECRET'),
    provider: 'custom', // 指定自定义认证逻辑
  },
});

2. 自定义登录接口 #

创建独立的登录接口，接收用户名、密码、位置三个参数，调用内部API完成验证：

• 在src/api/auth/routes/auth.js定义路由：

module.exports = {
  routes: [
    {
      method: 'POST',
      path: '/auth/login',
      handler: 'auth.login',
      config: {
        auth: false, // 登录接口本身无需认证
      },
    },
  ],
};

• 在src/api/auth/controllers/auth.js实现核心逻辑：

const axios = require('axios');
const jwt = require('jsonwebtoken');

module.exports = {
  async login(ctx) {
    const { username, password, location } = ctx.request.body;
    
    // 调用内部API校验用户信息
    const internalRes = await axios.post('你的内部API地址', {
      username,
      password,
      location,
    });
    
    if (!internalRes.data.valid) {
      return ctx.unauthorized('验证失败');
    }
    
    // 从内部API返回结果中提取角色
    const userRole = internalRes.data.role;
    
    // 仅管理员角色生成访问令牌
    if (userRole !== 'admin') {
      return ctx.forbidden('无管理员权限');
    }
    
    // 生成自定义JWT，不关联Strapi用户表
    const token = jwt.sign(
      { role: userRole, username },
      process.env.ADMIN_JWT_SECRET,
      { expiresIn: '24h' }
    );
    
    return ctx.send({ token });
  },
};

3. 自定义权限校验策略 #

因为Strapi默认权限依赖用户表，所以需要写自定义策略验证JWT和角色：

• 在src/policies/customAdminAuth.js编写策略：

const jwt = require('jsonwebtoken');

module.exports = async (ctx, next) => {
  const authHeader = ctx.request.headers.authorization;
  
  if (!authHeader || !authHeader.startsWith('Bearer ')) {
    return ctx.unauthorized('未提供有效令牌');
  }
  
  const token = authHeader.split(' ')[1];
  
  try {
    const decoded = jwt.verify(token, process.env.ADMIN_JWT_SECRET);
    
    // 校验角色是否为管理员
    if (decoded.role !== 'admin') {
      return ctx.forbidden('无管理员权限');
    }
    
    // 将用户信息挂载到上下文（可选）
    ctx.state.user = { username: decoded.username, role: decoded.role };
    
    await next();
  } catch (err) {
    return ctx.unauthorized('令牌无效或已过期');
  }
};

4. 配置后台路由使用自定义策略 #

在Strapi v4+中，可以在src/admin/app.js自定义登录组件，引导用户跳转到你的自定义登录接口，获取令牌后再访问后台。同时为所有后台接口配置自定义权限策略，替代默认的认证逻辑。

关键注意点 #

• 全程不在Strapi数据库存储任何用户信息，所有验证依赖内部API
• JWT仅存储必要标识（角色、用户名），无需关联Strapi用户表
• 确保内部API调用的安全性（如内网访问、添加签名校验）

内容的提问来源于stack exchange，提问作者deepti mullur