如何从Express授权中间件中排除指定子路由？

嘿，这个场景我太熟悉了——想给大部分API路由加授权，但总有一两个特殊路由要放行对吧？给你分享几个实用的方案，你可以根据自己的代码结构选最顺手的：

方案1：调整路由挂载顺序，提前放行目标路由 #

Express的中间件和路由是按注册顺序匹配执行的，所以我们可以把不需要授权的那个路由单独拎出来，放在全局授权中间件之前注册。这样当请求命中这个路由时，就会直接执行对应的控制器，跳过后面的授权逻辑。

代码示例：

// 先单独注册不需要授权的GET路由
app.get('/api/route1/:id/user', routes.route1.getUser);

// 再给剩下的所有/api路由挂载授权中间件
app.use('/api', authorizeMiddleWare, routes);

注意：如果你的routes.route1里还包含这个路由，可能会导致重复匹配，建议把这个路由从原有route1的路由定义里移除，避免冲突。

方案2：修改授权中间件，添加路由排除逻辑 #

如果不想动原有路由结构，直接在授权中间件里加判断逻辑是最省事的。我们可以检查当前请求的方法和路径，匹配到目标路由就直接跳过授权。

代码示例：

function authorizeMiddleWare(req, res, next) {
  // 用正则匹配目标路由（如果id是字符串，就把\d+改成[^/]+）
  const isExcludedRoute = req.method === 'GET' && /^\/api\/route1\/[^/]+\/user$/.test(req.path);
  
  if (isExcludedRoute) {
    return next(); // 跳过授权，直接进入控制器
  }

  // 你的原有授权验证逻辑（比如检查token、权限等）
  // ...
  
  next();
}

这个方法的好处是不用改任何路由注册代码，只需要在中间件里加几行判断，灵活性很高。

方案3：在路由内部标记跳过授权 #

如果想在路由定义层面精准控制，我们可以给目标路由加一个“跳过授权”的标记，然后在授权中间件里识别这个标记。

第一步，在route1的路由文件里给目标路由加一个前置中间件：

// route1.js
function markSkipAuth(req, res, next) {
  req.skipAuth = true;
  next();
}

// 给这个GET路由加上标记中间件
router.route('/:id/user').get(markSkipAuth, controller.getUser);

第二步，修改授权中间件，识别这个标记：

function authorizeMiddleWare(req, res, next) {
  if (req.skipAuth) {
    return next(); // 跳过授权
  }

  // 原有授权逻辑
  // ...
  
  next();
}

这种方法适合需要给多个路由单独放行的场景，扩展性更好。

内容的提问来源于stack exchange，提问作者Dhiresh Budhiraja