NodeJS Express如何实现无用户名的路由密码保护？

我用Node.js开发了一个小型应用，目前通过自定义Basic Auth中间件实现用户名+密码的路由保护，代码如下：

const basicAuth: RequestHandler = (req: express.Request, res: express.Response, next: express.NextFunction) => {
  const b64auth = (req.headers.authorization || '').split(' ')[1] || '';
  if (!checkCredentials(b64auth)) {
    res.set('WWW-Authenticate', 'Basic realm="401"');
    return res.status(401).send('Authentication required.');
  }
  next();
};

用户反馈无需用户名，仅用密码更便捷。我想实现仅密码的路由保护，但无法从WWW-Authenticate中移除用户名字段，也不想采用提示用户留空用户名的方案，有没有其他解决办法？

可行方案 #

1. 自定义HTTP请求头校验密码 #

放弃Basic Auth的默认弹窗机制，自己定义一个专属请求头（比如X-Password），让客户端请求时携带该头，中间件直接校验头内的密码即可，完全绕开用户名要求。

代码示例：

import { RequestHandler } from 'express';

const passwordAuth: RequestHandler = (req, res, next) => {
  // 从自定义头获取提交的密码
  const providedPassword = req.headers['x-password'];
  // 从环境变量读取预设的合法密码（避免硬编码）
  const validPassword = process.env.VALID_PASSWORD;

  if (!providedPassword || providedPassword !== validPassword) {
    return res.status(401).send('Authentication required.');
  }
  next();
};

// 给需要保护的路由挂载中间件
app.use('/protected', passwordAuth);

2. 改造Basic Auth逻辑，忽略用户名部分 #

继续沿用Basic Auth的弹窗，但在后端校验时，直接忽略解码后的用户名部分，只验证密码。用户在弹窗的用户名框可以随便填写（无需提示留空），只要密码正确就能通过认证。

修改后的校验逻辑：

const checkCredentials = (b64auth: string): boolean => {
  const authStr = Buffer.from(b64auth, 'base64').toString('utf8');
  // 按冒号分割后取最后一段作为密码（不管前面有没有用户名）
  const submittedPassword = authStr.split(':').pop() || '';
  // 比对预设密码
  return submittedPassword === process.env.VALID_PASSWORD;
};

// 原中间件逻辑不变，仅更新checkCredentials函数
const basicAuth: RequestHandler = (req: express.Request, res: express.Response, next: express.NextFunction) => {
  const b64auth = (req.headers.authorization || '').split(' ')[1] || '';
  if (!checkCredentials(b64auth)) {
    res.set('WWW-Authenticate', 'Basic realm="Protected Area"');
    return res.status(401).send('Authentication required.');
  }
  next();
};

3. 表单式密码验证（适合Web页面场景） #

如果是面向浏览器的Web应用，可以做一个仅含密码输入框的登录表单，验证通过后通过Session或JWT维持认证状态，完全替代Basic Auth的弹窗模式，用户体验更友好。

简化示例：

前端登录页面

<form action="/login" method="post">
  <label>请输入访问密码：</label>
  <input type="password" name="password" required>
  <button type="submit">确认登录</button>
</form>

后端实现

import express from 'express';
import session from 'express-session';

const app = express();
// 解析表单数据
app.use(express.urlencoded({ extended: true }));

// 配置Session（生产环境建议用Redis等存储）
app.use(session({
  secret: process.env.SESSION_SECRET || 'your-secret-key',
  resave: false,
  saveUninitialized: false,
  cookie: { secure: process.env.NODE_ENV === 'production' }
}));

// 登录验证路由
app.post('/login', (req, res) => {
  if (req.body.password === process.env.VALID_PASSWORD) {
    req.session.isAuthenticated = true;
    res.redirect('/protected');
  } else {
    res.status(401).send('密码错误，请重试');
  }
});

// 认证中间件
const authMiddleware: express.RequestHandler = (req, res, next) => {
  if (req.session.isAuthenticated) {
    next();
  } else {
    res.redirect('/login');
  }
};

// 保护路由
app.use('/protected', authMiddleware);

内容的提问来源于stack exchange，提问作者Nico Schuck