Express静态图片资源鉴权失效：仅管理员需访问图片文件夹

你遇到的问题出在权限拦截器的执行逻辑或静态资源的配置细节上，以下是具体排查和解决步骤：

1. 检查CheckAuth拦截器的核心逻辑 #

拦截器必须在验证失败时终止请求响应，不能让请求继续流向express.static。如果拦截器仅做了验证但未返回错误响应，就会导致静态资源被直接返回。

正确的拦截器示例：

// check-auth.interceptor.js
module.exports = (req, res, next) => {
  // 根据你的实际鉴权逻辑调整，比如从token解析用户角色
  const isAdmin = req.user?.role === 'admin';
  
  if (!isAdmin) {
    // 验证失败，直接返回403禁止访问
    return res.sendStatus(403);
  }
  
  // 验证通过，放行到下一个中间件
  next();
};

务必确保拦截器在未授权时调用res.sendStatus()或res.json()终止响应，不要遗漏return语句导致next()被执行。

2. 调整静态资源的挂载方式 #

虽然你当前的写法逻辑上是先过拦截器再到静态资源，但用路由包裹的方式能更明确地控制执行顺序：

const express = require('express');
const router = express.Router();
const auth = require("./api/middleware/check-auth.interceptor");
const path = require('path');

// 所有请求先经过权限拦截
router.use(auth);
// 再处理静态资源（用绝对路径避免路径解析错误）
router.use(express.static(path.join(__dirname, "images/cars")));

// 将路由挂载到指定路径
app.use("/images/cars", router);

这种方式能确保所有/images/cars路径下的请求都必须先通过权限验证。

3. 排查静态资源路径问题 #

如果express.static的相对路径解析错误，会导致请求返回404，但你可能误以为是权限拦截失效。建议使用绝对路径定位静态资源目录：

const path = require('path');
app.use("/images/cars", auth, express.static(path.join(__dirname, "images/cars")));

__dirname代表当前脚本所在目录，结合path.join能避免因启动目录不同导致的路径错误。

4. 验证测试 #

• 用非管理员账号请求/images/cars/xxx.jpg，确认返回403/401状态码；
• 用管理员账号请求同一资源，确认能正常加载图片。
  如果非管理员仍能访问，说明拦截器逻辑存在漏洞，需要重新检查鉴权逻辑（比如token解析、角色判断是否正确）。

内容的提问来源于stack exchange，提问作者Ali Parlatti