不通过中间件限制用户：如何检查受限状态并复用评论路由函数？

你的原函数有好几个致命问题：

• forEach本身没有返回值，最后return i永远是undefined
• some(x => { return x; })写法完全无效，some是用来判断数组是否存在符合条件的元素，你这相当于直接返回元素本身，逻辑完全错误
• a.comments.some(...).postedBy完全不合理，some返回布尔值，根本不存在postedBy属性
• 函数里直接使用res，但res不是函数参数，运行必然报错

先重构一个能真正检查用户是否受限、还能过滤受限用户评论的函数：

const checkRestrictedStatus = async (postData, currentUserId) => {
  try {
    // 判断当前用户是否在受限列表中
    const isUserRestricted = postData.PrivacySettings.restricted.includes(currentUserId);
    
    // 根据状态返回对应结果：受限则过滤该用户的评论，否则返回原数据
    if (isUserRestricted) {
      const filteredPosts = postData.posts.map(post => ({
        ...post,
        comments: post.comments.filter(comment => comment.postedBy !== currentUserId)
      }));
      return { isRestricted: true, filteredPosts };
    } else {
      return { isRestricted: false, posts: postData.posts };
    }
  } catch (ex) {
    console.error('权限检查出错:', ex.message);
    throw new Error('权限检查失败');
  }
};

不管是获取评论、发布评论、修改评论还是删除评论，都在路由的处理函数开头调用这个检查函数，再根据结果执行后续逻辑。举两个常用场景的例子：

例1：获取某帖子的评论列表 #

app.get('/posts/:postId/comments', async (req, res) => {
  try {
    // 获取必要参数：帖子ID、当前登录用户ID（从登录态中获取，比如req.user.id）
    const postId = req.params.postId;
    const currentUserId = req.user.id;
    // 假设你有获取帖子详情的方法
    const postData = await getPostById(postId);

    // 调用权限检查函数
    const { isRestricted, filteredPosts, posts } = await checkRestrictedStatus(postData, currentUserId);
    
    // 根据受限状态取对应数据
    const targetPost = isRestricted 
      ? filteredPosts.find(p => p.id === postId)
      : posts.find(p => p.id === postId);

    if (!targetPost) {
      return res.status(404).json({ msg: '帖子不存在' });
    }

    res.status(200).json({ comments: targetPost.comments });
  } catch (err) {
    res.status(500).json({ msg: err.message });
  }
});

例2：发布评论的路由 #

app.post('/posts/:postId/comments', async (req, res) => {
  try {
    const postId = req.params.postId;
    const currentUserId = req.user.id;
    const postData = await getPostById(postId);

    // 先检查用户是否受限
    const { isRestricted } = await checkRestrictedStatus(postData, currentUserId);
    
    // 受限直接拒绝请求
    if (isRestricted) {
      return res.status(403).json({ msg: '你处于受限状态，无法发布评论' });
    }

    // 不受限则执行正常发布逻辑
    const newComment = await createComment(postId, currentUserId, req.body.content);
    res.status(201).json(newComment);
  } catch (err) {
    res.status(500).json({ msg: err.message });
  }
});

把权限检查逻辑单独封装成独立函数，每个需要权限控制的评论路由，都在处理函数最开头调用该函数，根据返回的isRestricted状态，决定是继续执行业务逻辑，还是直接返回错误响应，以此实现非中间件方式的权限控制。

内容的提问来源于stack exchange，提问作者Karan CS