Express中如何仅为指定Router单独应用鉴权中间件？

你的问题核心在于中间件添加时机、路由挂载顺序的错误配置，以下是具体修正方案：

问题根源拆解 #

1. protectedRouter中间件添加滞后：你在将protectedRouter挂载到主应用后才添加validateAppToken，此时Express已完成该路由的注册，后续添加的中间件无法作用到已定义的路由上。
2. 全局中间件位置错误：bodyParser这类需要处理所有请求的中间件，必须放在路由挂载前，否则路由无法获取解析后的请求体。
3. 同路径路由的匹配逻辑：两个路由都挂载到/v2，Express会按挂载顺序依次匹配，若前序路由无匹配路径才会转交后序路由，但这本身不是问题，只需确保中间件仅绑定到目标路由即可。

修正后的完整代码 #

const main = express();

// 先加载全局通用中间件，确保所有路由能正常解析请求
main.use(bodyParser.json());
main.use(bodyParser.urlencoded({ extended: false }));

// 初始化两个路由实例
const protectedRouter = express.Router();
const unprotectedRouter = express.Router();

// 给受保护路由先绑定验证中间件，再定义具体路由
protectedRouter.use(validateAppToken);
protectedRouter.post('/academy/lesson-complete', ...onLessonCompleteSchemaChecks, onLessonComplete);

// 定义公开路由（无验证逻辑）
unprotectedRouter.all('/ping', (req, res) => res.send('Ping!'));

// 将两个路由挂载到主应用的/v2路径下
main.use('/v2', protectedRouter);
main.use('/v2', unprotectedRouter);

// 错误处理中间件放在最后，捕获所有路由的错误
main.use(errorHandler);

// 导出到Firebase Functions
export const api = functions
  .runWith({
    memory: "512MB",
  })
  .region("europe-west2")
  .https
  .onRequest(main);

关键调整说明 #

• 全局中间件前置：bodyParser放在路由挂载前，保证所有进入/v2的请求先完成解析。
• 受保护路由中间件先绑定：在定义protectedRouter下的任何路由前，先调用protectedRouter.use(validateAppToken)，该路由下的所有接口会自动继承验证逻辑，无需逐个添加。
• 错误处理中间件后置：错误处理逻辑必须放在所有路由和中间件之后，才能捕获前面流程中产生的错误。

调整后，/v2/ping会走公开路由，不会触发验证；/v2/academy/lesson-complete会走受保护路由，自动经过validateAppToken验证。

内容的提问来源于stack exchange，提问作者Jacobo Koenig