如何在Meteor中通过身份验证保护后端静态文件？

核心思路 #

不能将需要保护的文件放在Meteor默认的public目录下（该目录下的文件直接对外公开），而是要把文件存放在private目录，通过服务器端路由处理文件请求，并在路由中强制检查用户认证状态，只有已登录用户才能获取文件。

步骤1：存放文件到private目录 #

将需要保护的图片、音频、视频等文件放在项目根目录的private文件夹下（如果没有就新建一个）。比如：

your-project/
├── private/
│   ├── photos/
│   │   └── profile.jpg
│   ├── audio/
│   │   └── podcast.mp3
│   └── video/
│       └── tutorial.mp4

步骤2：服务器端添加认证路由 #

在server/main.js中添加自定义路由，处理文件请求并验证用户身份：

import { WebApp } from 'meteor/webapp';
import { Meteor } from 'meteor/meteor';
import { Accounts } from 'meteor/accounts-base';
import fs from 'fs';
import path from 'path';

// 处理受保护文件的路由
WebApp.connectHandlers.use('/protected-files', (req, res, next) => {
  // 从请求Cookie中获取Meteor登录令牌
  const loginToken = req.headers.cookie?.match(/meteor_login_token=([^;]+)/)?.[1];
  
  // 令牌不存在则返回401未授权
  if (!loginToken) {
    res.writeHead(401);
    res.end('Unauthorized: No login token provided');
    return;
  }

  // 通过令牌查找对应的用户
  const hashedToken = Accounts._hashLoginToken(loginToken);
  const user = Meteor.users.findOne({ 'services.resume.loginTokens.hashedToken': hashedToken });
  
  // 用户不存在或令牌无效则返回401
  if (!user) {
    res.writeHead(401);
    res.end('Unauthorized: Invalid login token');
    return;
  }

  // 解析请求的文件路径（去掉路由前缀后的部分）
  const relativeFilePath = req.url.slice(1);
  const fullFilePath = path.join(process.cwd(), 'private', relativeFilePath);

  // 检查文件是否存在
  fs.access(fullFilePath, fs.constants.F_OK, (err) => {
    if (err) {
      res.writeHead(404);
      res.end('File not found');
      return;
    }

    // 根据文件后缀设置正确的Content-Type
    const fileExt = path.extname(relativeFilePath).toLowerCase();
    let contentType = 'application/octet-stream';
    switch (fileExt) {
      case '.jpg':
      case '.jpeg':
        contentType = 'image/jpeg';
        break;
      case '.png':
        contentType = 'image/png';
        break;
      case '.gif':
        contentType = 'image/gif';
        break;
      case '.mp3':
        contentType = 'audio/mpeg';
        break;
      case '.mp4':
        contentType = 'video/mp4';
        break;
      // 可根据需求添加更多文件类型
    }

    // 以流的方式返回文件（避免大文件占用过多内存）
    res.writeHead(200, { 'Content-Type': contentType });
    const fileStream = fs.createReadStream(fullFilePath);
    fileStream.pipe(res);
  });
});

步骤3：客户端展示受保护文件 #

在客户端模板中，仅当用户登录时才渲染文件链接，路径指向我们定义的服务器路由：

<template name="ProtectedMedia">
  {{#if currentUser}}
    <div class="protected-content">
      <h3>我的受保护媒体</h3>
      <img src="/protected-files/photos/profile.jpg" alt="个人头像">
      <audio controls>
        <source src="/protected-files/audio/podcast.mp3" type="audio/mpeg">
        你的浏览器不支持音频播放
      </audio>
      <video controls width="600">
        <source src="/protected-files/video/tutorial.mp4" type="video/mp4">
        你的浏览器不支持视频播放
      </video>
    </div>
  {{else}}
    <p>请先登录以查看受保护内容</p>
    {{> LoginButtons}} <!-- 用Meteor自带的登录组件 -->
  {{/if}}
</template>

额外注意事项 #

• 权限扩展：如果需要更细粒度的权限控制（比如仅允许特定角色用户访问），可以在服务器路由中获取用户后，添加角色判断逻辑（比如检查user.roles字段）。
• 安全优化：可以添加请求速率限制，防止恶意请求；同时避免将文件路径直接暴露，可通过数据库映射文件ID与实际路径，增强安全性。
• 性能优化：对于频繁访问的文件，可以添加缓存策略，减少服务器磁盘读取压力。

内容的提问来源于stack exchange，提问作者Xavier Ripoll