Node.js Express多角色路由权限控制的最佳实践是什么？

在Node.js Express框架中，系统包含校长、学生、教师、管理员四种角色，现有路由/sliders仅允许教师、学生、管理员访问。下面对比三种实现方案，分析最优实践：

方案I：单个端点+多角色耦合中间件 #

示例代码 #

路由：

v1.get('/sliders', isUserOrTeacher, controller.findAll)

中间件：

const isUserOrTeacher = (req, res, next) => {
  User.findById(req.payload.aud).exec((err, user) => {
    if (err) {
      res.status(500).send({ message: err })
      return
    }

    Role.find(
      {
        _id: { $in: user.roles }
      },
      (err, roles) => {
        if (err) {
          res.status(500).send({ message: err })
          return
        }

        for (let i = 0; i < roles.length; i++) {
          if (roles[i].name === 'student' || roles[i].name === 'teacher' || roles[i].name === 'admin') {
            next()
            return
          }
        }

        logger.error(req.method, req.originalUrl, '. Error isUserOrTeacher: ' + req.payload)
        return sendUnauthorized(res)
      }
    )
  })
}

分析 #

优点是路由统一，前端只需调用一个接口；但中间件硬编码了三个角色的判断逻辑，后续如果要调整允许的角色（比如新增或移除角色权限），必须修改中间件内部代码，耦合性高，扩展性差。

方案II：拆分端点+单个角色中间件 #

示例代码 #

v1.get('/user/sliders', isUser, controller.findAll)
v1.get('/teacher/sliders', isTeacher, controller.findAll)

分析 #

这种方案完全不符合RESTful设计原则——/sliders是同一个资源，没必要根据角色拆分不同路径。会导致前端需要根据用户角色选择不同的接口调用，增加前端逻辑复杂度，后端也多了冗余的路由配置，属于冗余设计，完全不推荐。

方案III：通用角色校验中间件+链式调用优化 #

原写法问题 #

原示例写法v1.get('/sliders', isUser, isTeacher, isAdmin, controller.findAll)存在逻辑错误：Express中间件是顺序执行且全部通过才会进入控制器，这会要求用户同时具备学生、教师、管理员三种角色，和需求（三种角色具备其一即可）完全不符。

正确实现 #

我们可以编写一个通用的角色校验中间件，支持传入允许的角色列表：

// 通用角色校验中间件，接收允许的角色作为参数
const hasRole = (...allowedRoles) => {
  return (req, res, next) => {
    User.findById(req.payload.aud).exec((err, user) => {
      if (err) {
        return res.status(500).send({ message: err });
      }

      Role.find({ _id: { $in: user.roles } }, (err, roles) => {
        if (err) {
          return res.status(500).send({ message: err });
        }

        // 提取用户的角色名称列表
        const userRoleNames = roles.map(role => role.name);
        // 检查用户是否拥有至少一个允许的角色
        const hasPermission = allowedRoles.some(role => userRoleNames.includes(role));
        
        if (hasPermission) {
          return next();
        }

        logger.error(`${req.method} ${req.originalUrl}. Error: Unauthorized user ${req.payload}`);
        return sendUnauthorized(res);
      });
    });
  };
};

// 路由使用方式
v1.get('/sliders', hasRole('student', 'teacher', 'admin'), controller.findAll);

分析 #

这个方案的优势明显：

• 路由保持统一，前端无需区分角色调用接口，符合RESTful资源设计；
• 中间件职责单一、可复用，允许的角色通过参数灵活配置，后续调整权限只需修改传入的角色列表，无需改动中间件内部逻辑；
• 代码结构清晰，易于维护和扩展，新增角色或调整权限时成本极低。

最优实践结论 #

方案III的通用角色校验中间件实现是最优选择。方案I耦合性高，维护成本高；方案II属于冗余设计，增加前后端复杂度，均不推荐。

内容的提问来源于stack exchange，提问作者ASHafizullah