NodeJS最佳实践：/coins/list接口分角色返回数据的代码优化咨询

现有接口 /coins/list，访问逻辑如下：

• 普通用户访问返回：

{
  "title": "hello"
}

• 管理员访问返回：

{
  "title": "hello",
  "id": "1",
  "date": "2020-01-01"
}

我在控制器中编写了如下代码：

const coinsList = async (req: Request, res: Response, next: NextFunction) => {
  if (req.isAdmin) {
    return coinsService.showAdminData()
  } else {
    return coinsService.showUserData()
  }
}

请问这段代码是否合理？处理此类场景的最佳实践是什么？

代码合理性分析 #

这段代码能实现基本需求，但存在几个明显的优化空间：

1. 耦合度高：控制器直接绑定了角色判断和服务方法调用，后续新增角色（比如VIP用户）就得修改控制器代码，不符合开闭原则。
2. 代码冗余：showAdminData和showUserData很大概率会重复获取基础数据（比如title），导致服务层代码重复。
3. 无异常处理：异步操作没加错误捕获，一旦服务层方法报错，请求会直接挂起或抛出未捕获异常，影响服务稳定性。

最佳实践 #

针对这种按角色返回不同数据的场景，推荐以下几种方案：

1. 统一数据获取+字段过滤 #

让服务层统一拉取完整数据，再根据角色裁剪返回字段，避免重复逻辑：

// 控制器
const coinsList = async (req: Request, res: Response, next: NextFunction) => {
  try {
    const fullData = await coinsService.getFullCoinData();
    const responseData = req.isAdmin 
      ? fullData 
      : { title: fullData.title };
    res.json(responseData);
  } catch (err) {
    next(err); // 转交给全局错误处理中间件
  }
}

// 服务层
const getFullCoinData = async () => {
  // 这里写统一获取所有数据的逻辑，比如从数据库查询
  return {
    title: 'hello',
    id: '1',
    date: '2020-01-01'
  };
}

2. 抽离权限控制到中间件 #

把角色判断和字段权限的逻辑抽成中间件，让控制器只专注于业务处理：

// 权限中间件：判断角色并设置允许返回的字段
const setCoinDataPermissions = (req: Request, res: Response, next: NextFunction) => {
  req.allowedCoinFields = req.isAdmin 
    ? ['title', 'id', 'date'] 
    : ['title'];
  next();
}

// 控制器（需先挂载上述中间件）
const coinsList = async (req: Request, res: Response, next: NextFunction) => {
  try {
    const fullData = await coinsService.getFullCoinData();
    // 根据允许的字段过滤数据
    const responseData = Object.fromEntries(
      Object.entries(fullData).filter(([key]) => req.allowedCoinFields.includes(key))
    );
    res.json(responseData);
  } catch (err) {
    next(err);
  }
}

3. 用DTO规范返回格式 #

定义不同角色对应的DTO（数据传输对象），明确各角色能拿到的字段，同时增强类型安全（TS环境下更友好）：

// 定义DTO
interface CoinUserDTO {
  title: string;
}

interface CoinAdminDTO extends CoinUserDTO {
  id: string;
  date: string;
}

// 控制器
const coinsList = async (req: Request, res: Response, next: NextFunction) => {
  try {
    const fullData = await coinsService.getFullCoinData();
    const responseData: CoinUserDTO | CoinAdminDTO = req.isAdmin 
      ? { ...fullData } 
      : { title: fullData.title };
    res.json(responseData);
  } catch (err) {
    next(err);
  }
}

额外注意事项 #

• 安全第一：req.isAdmin的判断必须可靠，不能相信前端传的参数，得从后端校验（比如解析JWT令牌、查数据库权限表）。
• 异常处理：所有异步操作一定要加try/catch，把错误抛给全局错误中间件处理，避免请求无响应。
• 可扩展性：如果后续要加更多角色，建议用配置化的方式管理字段权限（比如把角色-字段映射存在配置文件或数据库），不要硬编码if-else。

内容的提问来源于stack exchange，提问作者ali