Node.js管理员专属路由权限控制：判断逻辑失效求助

问题核心 #

你试图限制仅MongoDB中isAdmin: true的管理员能访问/categories POST路由，但当前通过req.body.isAdmin的判断逻辑始终进入else分支，权限控制完全失效。

错误原因 #

1. 依赖不可信的请求体参数：req.body.isAdmin是前端传入的参数，任何人都可以伪造这个值（比如直接在请求里加isAdmin: true），完全不具备权限验证的安全性。
2. 请求体中可能未传入该字段：如果前端请求时没有在body里传isAdmin，req.body.isAdmin会是undefined，条件判断自然为false，进入else分支。

正确解决方案 #

权限验证必须基于已认证的用户身份，流程如下：

1. 实现用户认证中间件（比如JWT），在请求到达目标路由前验证用户身份，并从数据库获取该用户的真实isAdmin字段。
2. 在目标路由中使用该中间件，通过req.user.isAdmin判断用户权限（req.user由中间件挂载，是数据库中真实的用户信息）。

步骤1：编写认证中间件 #

创建authMiddleware.js文件，用于验证用户身份并挂载用户信息：

const jwt = require('jsonwebtoken');
const User = require('../models/User'); // 替换为你的用户模型路径

const authMiddleware = async (req, res, next) => {
  try {
    // 从请求头获取JWT token
    const authHeader = req.header('Authorization');
    if (!authHeader || !authHeader.startsWith('Bearer ')) {
      return res.status(401).json({ success: false, message: '未提供有效认证凭证' });
    }
    const token = authHeader.split(' ')[1];

    // 验证token并解码出用户ID
    const decoded = jwt.verify(token, process.env.JWT_SECRET); // 替换为你的JWT密钥
    // 从数据库获取真实用户信息
    const user = await User.findById(decoded.userId).select('-password'); // 排除密码字段
    if (!user) {
      return res.status(401).json({ success: false, message: '用户不存在' });
    }

    // 将用户信息挂载到req对象，供后续路由使用
    req.user = user;
    next(); // 继续执行后续路由逻辑
  } catch (error) {
    res.status(401).json({ success: false, message: '认证失败：token无效或已过期' });
  }
};

module.exports = authMiddleware;

步骤2：修改目标路由 #

更新/categories POST路由，引入认证中间件并基于真实用户信息判断权限：

const authMiddleware = require('../middleware/authMiddleware'); // 引入中间件

router.post('/categories', authMiddleware, async (req, res) => {
  // 基于数据库中真实的用户isAdmin字段判断权限
  if (req.user.isAdmin) {
    try {
      const category = new Category({
        type: req.body.type,
        description: req.body.description
      });

      await category.save();
      res.json({
        status: true,
        message: '保存成功'
      });
    } catch (error) {
      res.status(500).json({ success: false, message: error.message });
    }
  } else {
    res.status(403).json({ success: false, message: '无权限访问此路由' });
    console.log('权限拦截：非管理员用户尝试访问管理员路由');
  }
});

补充：用户登录接口（生成JWT token） #

确保用户登录时能获取到用于认证的token：

const bcrypt = require('bcrypt');
const jwt = require('jsonwebtoken');
const User = require('../models/User');

router.post('/login', async (req, res) => {
  try {
    const { email, password } = req.body;
    // 查找用户
    const user = await User.findOne({ email });
    if (!user) {
      return res.status(400).json({ success: false, message: '用户不存在' });
    }

    // 验证密码（假设密码用bcrypt加密存储）
    const isPasswordMatch = await bcrypt.compare(password, user.password);
    if (!isPasswordMatch) {
      return res.status(400).json({ success: false, message: '密码错误' });
    }

    // 生成JWT token，过期时间可根据需求调整
    const token = jwt.sign(
      { userId: user._id },
      process.env.JWT_SECRET,
      { expiresIn: '7d' }
    );

    res.json({ success: true, token });
  } catch (error) {
    res.status(500).json({ success: false, message: error.message });
  }
});

验证方式 #

前端请求/categories时，需要在请求头中携带Authorization字段：

Authorization: Bearer <登录时获取的token>

只有数据库中isAdmin: true的用户，才能成功执行分类保存逻辑；非管理员用户会收到403权限不足的响应。

内容的提问来源于stack exchange，提问作者xander