请求头authorization未定义报错排查：Node.js身份验证代码问题

错误原因 #

1. 请求头缺失授权字段：调用whoami接口时，客户端未在请求头中携带Authorization（Bearer Token），导致req.headers.authorization为undefined，执行split方法时触发报错。
2. 控制器传参错误：控制器中调用authService.whoami(req.body)，但服务层的whoami函数需要接收完整的请求对象req才能获取请求头，传req.body会导致函数内部无法访问req.headers。
3. 无错误边界处理：服务层代码直接对bearerToken调用split，未提前校验该值是否存在，一旦授权头缺失就会抛出异常。

修复步骤 #

1. 修正控制器传参 #

将控制器中传递给服务层的参数从req.body改为完整的req对象：

whoami(req, res) {
    authService
        .whoami(req)
        .then((user) => {
            res.status(200).json(user);
        })
        .catch((err) => {
            console.log(err);
            res.status(422).json({
                status: "FAIL",
                message: err.message,
            });
        });
},

2. 服务层添加校验与逻辑修正 #

调整服务层whoami函数，增加授权头和Token格式的校验，同时改为返回Promise的形式适配控制器的调用方式：

async whoami(req) {
    // 检查授权头是否存在
    const bearerToken = req.headers.authorization;
    if (!bearerToken) {
        throw new Error("请求头缺少Authorization字段");
    }

    // 检查Token格式是否符合Bearer规范
    if (!bearerToken.startsWith("Bearer ")) {
        throw new Error("Token格式错误，应为Bearer {token}");
    }

    // 提取并校验Token内容
    const token = bearerToken.split("Bearer ")[1];
    if (!token) {
        throw new Error("Token不能为空");
    }

    // 验证Token并查询用户
    const tokenPayload = jwt.verify(token, process.env.JWT_SIGNATURE_KEY || "Rahasia");
    const user = await userRepository.find(tokenPayload.id);
    
    if (!user) {
        throw new Error("用户不存在");
    }

    return user;
},

3. 客户端调用规范 #

确保客户端调用接口时，在请求头中添加正确格式的授权信息：

Authorization: Bearer {你的JWT Token}

额外优化建议 #

• 可将Token校验逻辑封装为独立中间件，在路由层面统一拦截未授权请求，减少重复代码。
• 生产环境务必配置JWT_SIGNATURE_KEY环境变量，避免使用默认密钥，提升安全性。

内容的提问来源于stack exchange，提问作者Gallan Stefan Jaya Kelana