Vue项目中DELETE路由触发UnauthorizedError问题排查

云原生阿岚

2026-8-12

问题描述

我有一个Vue项目，后端Express路由结构一致，但其中一条DELETE路由始终返回UnauthorizedError错误。路由配置如下：

router.get('/:userId/reviews', checkJwt, verifyUser, controller.getReviewsByUserId)
router.put('/:userId/review', checkJwt, verifyUser, controller.updateReview)
router.delete('/:userId/review', checkJwt, verifyUser, controller.removeReviewFromUser) // 异常路由

若将该异常路由改为以下PUT请求形式，则可正常工作：

router.put('/:userId/delete/review', checkJwt, verifyUser, controller.removeReviewFromUser)

问题出在checkJwt中间件，但其余15条GET、POST、PUT路由均正常，另有10条同结构DELETE路由也无异常。

checkJwt中间件代码：

const { auth } = require('express-oauth2-jwt-bearer')

// Setup auth
const checkJwt = auth({
  audience: 'MY-AUDIENCE',
  issuerBaseURL: 'https://simplyadvanced.auth0.com/'
})

module.exports = {
  checkJwt
}

完整错误信息：

UnauthorizedError: Unauthorized
    at getToken (C:\Users\cody\App\app-core\api\node_modules\express-oauth2-jwt-bearer\dist\index.js:83:15)
    at C:\Users\cody\App\app-core\api\node_modules\express-oauth2-jwt-bearer\dist\index.js:353:25
    at Layer.handle [as handle_request] (C:\Users\cody\App\app-core\api\node_modules\express\lib\router\layer.js:95:5)
    at next (C:\Users\cody\App\app-core\api\node_modules\express\lib\router\route.js:137:13)
    at Route.dispatch (C:\Users\cody\App\app-core\api\node_modules\express\lib\router\route.js:112:3)
    at Layer.handle [as handle_request] (C:\Users\cody\App\app-core\api\node_modules\express\lib\router\layer.js:95:5)
    at C:\Users\cody\App\app-core\api\node_modules\express\lib\router\index.js:281:22
    at param (C:\Users\cody\App\app-core\api\node_modules\express\lib\router\index.js:360:14)
    at param (C:\Users\cody\App\app-core\api\node_modules\express\lib\router\index.js:371:14)
    at Function.process_params (C:\Users\cody\App\app-core\api\node_modules\express\lib\router\index.js:416:3)

可能的原因分析

前端请求未正确携带Token：DELETE请求的发送逻辑可能和其他请求不同，比如某些浏览器或HTTP库在发送DELETE时，默认不会自动携带Authorization头，或者前端代码在处理DELETE请求时遗漏了Token的设置。对比PUT版本的请求，检查请求头里是否包含正确的Authorization: Bearer <token>。
路由匹配冲突：虽然看起来结构一致，但可能存在其他路由规则优先匹配了这条DELETE路由，导致checkJwt中间件没有被正确执行，或者请求被提前拦截。比如是否有其他通配符路由（如router.delete('/:userId/*', ...)）在这条路由之前定义，导致请求被错误分流。
Auth0权限配置问题：检查Auth0控制台中，该DELETE路由对应的API权限是否正确配置。虽然其他DELETE路由正常，但可能这条路由的权限标识符（比如delete:review）没有被包含在用户的Token权限范围内，而PUT版本的请求使用了另一个已授权的权限（如update:review）。
express-oauth2-jwt-bearer的特殊处理：该库对DELETE请求的Token解析可能存在边缘情况，比如请求参数或路由参数的格式影响了Token提取。错误栈显示问题出在getToken方法，说明Token没有被正确获取，可能是DELETE请求的请求体或头信息格式不符合库的预期（比如某些代理或中间件修改了DELETE请求的头）。

解决方案建议

排查前端请求头：使用浏览器开发者工具或Postman直接发送DELETE请求，确认Authorization头是否正确携带。如果前端使用axios等库，检查DELETE请求的配置是否和PUT一致，比如是否在请求拦截器中正确处理了DELETE请求的Token添加。
调整路由顺序：将这条异常的DELETE路由移到其他同前缀路由的前面，避免被其他路由规则优先匹配。
检查Auth0权限：在Auth0控制台中，确认用户所属的角色是否拥有该DELETE路由对应的权限，同时验证Token的permissions字段是否包含该权限。
调试Token提取过程：可以在checkJwt之前添加一个自定义中间件，打印请求的所有头信息，确认Token是否存在，以及是否被express-oauth2-jwt-bearer正确识别。比如：

router.delete('/:userId/review', (req, res, next) => {
  console.log('Authorization header:', req.headers.authorization);
  next();
}, checkJwt, verifyUser, controller.removeReviewFromUser)

更新依赖库：检查express-oauth2-jwt-bearer的版本，是否存在已知的DELETE请求处理bug，尝试升级到最新版本。

内容的提问来源于stack exchange，提问作者mcool