如何用Express&MongoDB处理用户账号激活禁用？登录验证active字段问题

问题根源分析 #

你的登录路由存在几个关键问题导致无法获取active字段：

1. 开头的let user = await UserSchema.findOne;是无效代码，findOne是方法需调用，且后续重复声明user变量，属于语法错误。
2. 核心问题在于getUserByEmail函数可能未在查询时包含active字段，或查询逻辑限制了返回字段。
3. 登录流程完全缺失对active字段的验证步骤。

修复方案 #

1. 修复登录路由语法错误并添加active验证

修改登录路由代码，确保获取完整用户信息（含active字段），并在密码验证通过后检查账号激活状态：

router.post('/login', loginValidation, async (req, res) => {
  const { email, password } = req.body;

  if (!email || !password)
    return res.json({
      status: 'error',
      message: 'Email and password are required',
    });

  // 获取完整用户信息，确保包含active字段
  const user = await getUserByEmail(email);
  
  if (!user)
    return res.json({ status: 'error', message: 'Wrong Email or Password' });

  // 验证密码
  const result = await comparePassword(password, user.password);
  if (!result) {
    return res.json({ status: 'error', message: 'Wrong Email or Password' });
  }

  // 新增：检查账号是否激活
  if (!user.active) {
    return res.json({ status: 'error', message: 'Your account has been disabled, please contact the administrator' });
  }

  // 后续可添加生成token等登录逻辑
  res.json({ status: 'success', message: 'Login successful', user: { email: user.email } });
})

2. 确保getUserByEmail函数返回active字段

如果getUserByEmail是自定义查询函数，需确保它没有限制返回字段：

// 示例getUserByEmail实现，确保返回包含active的完整用户数据
async function getUserByEmail(email) {
  // 默认返回所有字段，包括active；若有select限制需明确包含active
  return await UserSchema.findOne({ email });
  // 若之前有select：.select('email password active')
}

3. 可选：优化管理员路由提示信息

管理员路由中无论激活/禁用都返回"deactivate"，可优化为动态提示：

router.patch(
  '/account',
  userAuthorization,
  roleBase(['admin']),
  async (req, res) => {
    try {
      const account = await UserSchema.findOneAndUpdate(
        { _id: req.userId },
        { $set: { active: req.body.active } },
        { new: true }
      );
      
      if (account) {
        const action = account.active ? 'activated' : 'deactivated';
        return res.json({ msg: `User account ${action} successfully!` });
      }
      
      res.status(404).json({ msg: 'User not found' });
    } catch (err) {
      return res
        .status(500)
        .json({ msg: 'Unable to update account status', error: err.message });
    }
  }
);

关键注意点 #

• 登录提示统一返回"邮箱或密码错误"，不要区分"邮箱不存在"和"密码错误"，避免泄露用户信息。
• 当前UserSchema中active字段默认值false符合需求：新注册用户默认禁用，需管理员手动激活。

内容的提问来源于stack exchange，提问作者Jonh