如何在MERN项目中实现JWT认证及用户独立数据库权限控制？

一、调整数据库模型设计 #

• 给所有需要用户隔离的数据集合（如订单、笔记、自定义配置等）添加userId字段，类型与用户集合的_id一致（通常为ObjectId），用于绑定数据所属用户。
• Mongoose模型示例：

const NoteSchema = new mongoose.Schema({
  title: String,
  content: String,
  userId: {
    type: mongoose.Schema.Types.ObjectId,
    ref: 'User',
    required: true
  }
});

二、编写JWT验证中间件，提取当前用户身份 #

• 该中间件负责解析请求头中的JWT令牌，验证合法性后将用户信息挂载到req对象，供后续API逻辑使用。
• 示例代码：

const jwt = require('jsonwebtoken');
const User = require('../models/User');

const authenticateUser = async (req, res, next) => {
  const token = req.header('Authorization')?.replace('Bearer ', '');
  if (!token) {
    return res.status(401).json({ message: '未提供有效令牌' });
  }

  try {
    const decoded = jwt.verify(token, process.env.JWT_SECRET);
    const user = await User.findById(decoded.userId).select('-password');
    if (!user) {
      return res.status(401).json({ message: '用户不存在' });
    }
    req.user = user;
    next();
  } catch (err) {
    res.status(401).json({ message: '令牌无效或已过期' });
  }
};

module.exports = authenticateUser;

三、修改API逻辑，强制数据归属校验 #

• 所有涉及数据增删改查的API，必须以当前用户的userId作为查询/关联条件，确保用户只能操作自身数据。
• 核心场景示例：
  1. 创建数据时自动关联用户ID：

  router.post('/notes', authenticateUser, async (req, res) => {
    try {
      const note = new Note({
        ...req.body,
        userId: req.user._id
      });
      await note.save();
      res.status(201).json(note);
    } catch (err) {
      res.status(400).json({ message: err.message });
    }
  });
  

  2. 查询数据时过滤用户专属内容：

  router.get('/notes', authenticateUser, async (req, res) => {
    try {
      const notes = await Note.find({ userId: req.user._id });
      res.json(notes);
    } catch (err) {
      res.status(500).json({ message: err.message });
    }
  });
  

  3. 更新/删除前校验数据归属：

  router.put('/notes/:id', authenticateUser, async (req, res) => {
    try {
      const note = await Note.findOne({
        _id: req.params.id,
        userId: req.user._id
      });
      if (!note) {
        return res.status(404).json({ message: '数据不存在或无权限操作' });
      }
      Object.assign(note, req.body);
      await note.save();
      res.json(note);
    } catch (err) {
      res.status(400).json({ message: err.message });
    }
  });
  

四、前端请求时携带JWT令牌 #

• 用户登录成功后，将JWT令牌存储在localStorage或sessionStorage中，后续所有请求在Authorization头中携带Bearer <token>。
• Axios拦截器示例：

import axios from 'axios';

const api = axios.create({
  baseURL: 'http://localhost:5000/api'
});

api.interceptors.request.use(config => {
  const token = localStorage.getItem('token');
  if (token) {
    config.headers.Authorization = `Bearer ${token}`;
  }
  return config;
});

export default api;

额外安全建议 #

• 禁止在前端直接暴露用户ID等敏感信息，所有数据关联逻辑由后端处理。
• 使用环境变量存储JWT密钥，避免硬编码，定期更新密钥。
• 敏感操作（如删除数据、修改密码）可添加二次验证（如密码确认）。

内容的提问来源于stack exchange，提问作者VP1996