Node.js请求处理期间如何存储数据？鉴权中间件用户ID共享方案

全局变量绝对不能用 #

全局变量在多并发场景下会被直接覆盖——比如两个请求同时处理，后一个请求的用户ID会把前一个的冲掉，导致用户身份混乱，完全不可靠，别碰。

最优方案：用请求上下文（Request Context） #

这是业界通用的标准做法，不同开发框架都有原生支持，优雅又安全：

• Node.js（Express/Koa）：Express直接把用户ID挂载到req对象上；Koa用ctx.state（框架专门用来存请求级别的自定义数据）。后续中间件、路由函数直接从这里取就行。
  示例（Express）：

  // 鉴权中间件
  function authMiddleware(req, res, next) {
    const token = req.headers.authorization?.split(' ')[1];
    const userId = verifyTokenAndGetUserId(token); // 你的token验证逻辑
    req.userId = userId;
    next();
  }
  
  // 后续业务路由
  app.get('/api/profile', authMiddleware, (req, res) => {
    console.log('当前用户ID:', req.userId);
    res.json({ userId: req.userId });
  });
  

• Python（Flask/Django）：Flask用内置的g对象（请求级别的全局变量，每个请求独立）；Django可以把用户ID放到request的自定义属性里，或者直接用request.user.id（如果用了Django自带的认证体系）。
  示例（Flask）：

  from flask import g, request
  
  @app.before_request
  def auth_middleware():
      token = request.headers.get('Authorization', '').split(' ')[-1]
      user_id = verify_token(token) # 你的验证逻辑
      g.user_id = user_id
  
  @app.route('/profile')
  def profile():
      print(f'当前用户ID: {g.user_id}')
      return {'user_id': g.user_id}
  

• Java（Spring Boot）：可以通过HttpServletRequest.setAttribute("userId", userId)存入，后续用getAttribute获取；或者直接用Spring Security的SecurityContextHolder.getContext().getAuthentication().getPrincipal()拿到用户信息再取ID。

为什么这比传递对象更优雅 #

• 这是框架原生提供的机制，符合行业开发规范，其他开发者接手一看就懂，不需要额外维护自定义的传递对象。
• 请求上下文和单个请求的生命周期绑定，每个请求的数据完全隔离，不会出现并发冲突，安全性有保障。

其他备选（不推荐） #

• 线程局部变量（ThreadLocal）：Java等语言里可以用，但本质和请求上下文逻辑一致，框架已经封装好了的话，没必要自己造轮子，容易出错。
• 自定义请求对象：继承框架的请求类添加用户ID字段，但需要修改框架的请求处理流程，成本高，完全没必要。

内容的提问来源于stack exchange，提问作者Alexandr Popov