Actix Web JWT验证中间件：如何返回错误响应并解决请求借用问题

你的核心问题是过早移动了ServiceRequest实例，导致后续无法处理错误或修改请求扩展。正确的逻辑应该是先完成所有JWT验证流程，再决定是调用后续服务还是直接返回错误响应。

以下是修正后的完整代码，同时补上了错误处理（避免使用unwrap导致panic）：

impl<S, B> Service<ServiceRequest> for JwtVerifierMiddleware<S>
where
    S: Service<ServiceRequest, Response = ServiceResponse<B>, Error = Error>,
    S::Future: 'static,
    B: 'static,
{
    type Response = ServiceResponse<B>;
    type Error = Error;
    type Future = LocalBoxFuture<'static, Result<Self::Response, Self::Error>>;

    forward_ready!(service);

    fn call(&self, req: ServiceRequest) -> Self::Future {
        // 1. 先借用请求头，不移动req
        let authorization_header = req.headers().get("Authorization");

        // 2. 检查Authorization头是否存在
        let token = match authorization_header {
            Some(header) => header.to_str().map_err(|_| {
                // 处理头格式错误的情况
                Error::from(HttpResponse::BadRequest().body("Invalid Authorization header format"))
            })?,
            None => {
                // 无令牌时直接返回401错误
                return Box::pin(async {
                    Err(Error::from(HttpResponse::Unauthorized().body("Authorization header missing")))
                });
            }
        };

        // 3. 提取Bearer令牌（假设你的令牌格式是Bearer <token>）
        let token = token.strip_prefix("Bearer ").ok_or_else(|| {
            Error::from(HttpResponse::BadRequest().body("Invalid token format: expected Bearer <token>"))
        })?;

        // 4. 验证JWT令牌，处理验证错误
        let claims = verify(token).map_err(|e| {
            Error::from(HttpResponse::Unauthorized().body(format!("Invalid token: {}", e)))
        })?;

        // 5. 验证通过，将claims插入请求扩展
        let mut req = req; // 此时可以安全地获取req的所有权
        req.extensions_mut().insert(claims);

        // 6. 调用后续服务处理请求
        Box::pin(async move {
            self.service.call(req).await
        })
    }
}

关键修正点说明： #

• 请求所有权时机：直到所有验证逻辑完成后，才获取req的所有权，避免过早移动导致无法构建错误响应。
• 错误处理替代unwrap：所有可能失败的操作（比如头转字符串、令牌前缀提取、JWT验证）都用map_err转换成Actix的Error，返回对应的HTTP错误响应。
• 错误响应构建：使用HttpResponse构建符合HTTP规范的错误（401表示未授权，400表示请求格式错误），再包装成Actix的Error返回。

这样既解决了请求借用与移动的冲突，又实现了无令牌时返回错误响应的需求，同时让代码更健壮（避免panic）。

内容的提问来源于stack exchange，提问作者Abdulqudduus Babalola