创建预订API时管理员权限校验及Course验证失败问题求助

核心问题 #

你遇到的ValidationError是因为控制器接收的数据结构不匹配，加上权限验证逻辑顺序颠倒，还有几处语法/逻辑错误共同导致的：

1. 数据结构不匹配 #

路由中传递给addCourse的是包含course和isAdmin的对象：

const data ={
    course: req.body,
    isAdmin: auth.decode(req.headers.authorization).isAdmin
}

但控制器里直接从reqBody取name/description/price，实际上这些字段在reqBody.course里，自然会取到undefined，触发MongoDB的必填字段验证。

2. 权限验证顺序错误 #

当前代码先创建课程并执行save()，之后才检查用户权限，这不仅浪费资源，还会在权限验证前就触发字段验证错误。正确顺序是先验证权限，再处理课程创建。

3. 控制器不该直接操作响应对象 #

addCourse作为控制器函数，直接调用res.status(401).send()不符合分层逻辑，应该把权限判断结果或错误返回给路由，由路由统一处理HTTP响应。

4. save()的Promise处理错误 #

Mongoose的save()返回的Promise，then仅接收成功的文档，错误需要通过catch捕获，而非then的第二个参数。

5. 赋值语法错误 #

reqBody.isAdmin = true是赋值操作，不是判断逻辑，应该用===（且该逻辑本身无必要，因为路由已传递isAdmin）。

修复后的代码 #

控制器部分 #

module.exports.addCourse = (reqData) => {
    // 优先验证管理员权限
    if (!reqData.isAdmin) {
        return Promise.reject({ status: 401, message: "Access denied" });
    }

    // 权限通过，创建课程实例
    let newCourse = new Course({
        name: reqData.course.name,
        description: reqData.course.description,
        price: reqData.course.price
    });

    // 保存课程并处理结果
    return newCourse.save()
        .then(course => ({ message: "Course added successfully", course }))
        .catch(error => Promise.reject({ status: 400, error: error.message }));
};

路由部分 #

router.post("/", auth.verify, (req, res) => {
    const data = {
        course: req.body,
        isAdmin: auth.decode(req.headers.authorization).isAdmin
    };

    courseController.addCourse(data)
        .then(result => res.status(200).send(result))
        .catch(err => {
            res.status(err.status || 500).send({ message: err.message || "Server error" });
        });
});

module.exports = router;

关键修复说明 #

1. 权限前置验证：先检查isAdmin，不通过直接返回拒绝的Promise，避免无效的数据库操作。
2. 修正字段取值路径：从reqData.course中获取课程字段，匹配路由传递的数据结构。
3. 分层响应处理：控制器仅返回Promise（成功/失败状态），由路由统一发送HTTP响应，符合MVC设计逻辑。
4. 错误统一捕获：用catch处理save()的验证错误和数据库异常，将错误信息返回给路由处理。

内容的提问来源于stack exchange，提问作者Dixcy Dela Cruz