编写登录路由时Async/await抛出SyntaxError，求问题原因及解决方法

兄弟，我一眼就揪出问题所在了——你虽然给路由的顶层回调加了async，但你在.then()的内部回调里用await时，那个回调函数本身没标记为async啊！这就是报错await is only valid in async function的核心原因。

问题根源拆解 #

你的路由函数async(req, res)确实是异步函数，但里面的.then(user => { ... })这个箭头函数并没有声明为async，JavaScript语法规则明确要求：await只能出现在async标记的函数内部，所以这个嵌套的非async函数里用await自然会触发语法错误。

而且既然已经用了async/await，其实完全可以抛弃Promise链式调用的写法，让代码逻辑更线性、更易读。下面给你两种解决方案：

方案一：统一使用Async/Await（推荐） #

把.then()和.catch()全部替换成await+try/catch，代码结构会清爽很多：

// Login a User
router.post('/login', async(req, res) => {
  try {
    // 用await替代.then()获取查询结果
    const user = await User.findOne({ email: req.body.email });
    
    if(!user){
      // 修正原代码的字符串拼接错误，同时加return避免后续代码执行
      return res.status(404).send(`User with email ${req.body.email} not found`);
    }
    
    // 合法使用await调用bcrypt.compare
    const checkPassword = await bcrypt.compare(req.body.password, user.password);
    console.log(checkPassword);
    
    if(!checkPassword){
      // 密码错误返回401状态码，语义更清晰
      return res.status(401).send('Wrong password entered');
    }
    
    // 登录成功返回200状态（默认就是200，也可以显式写）
    res.send('Success, you are logged in');
  } catch(err) {
    console.log(err);
    // 服务器内部错误返回500状态码
    res.status(500).send('Server error');
  }
})

额外优化点说明：

• 用try/catch统一捕获所有异步操作的错误，替代零散的.catch()
• 每个响应前加return，防止后续代码继续执行导致重复响应
• 给不同场景添加了符合REST规范的HTTP状态码（404/401/500），前端处理更方便
• 修正了原代码里的字符串拼写错误（比如not ${req.body.email} found的语序问题）

方案二：给Then的回调函数添加Async标记 #

如果你坚持要保留Promise链式调用的写法，只需要给.then()的回调函数加上async关键字即可：

// Login a User
router.post('/login', async(req, res) => {
  User.findOne({ email: req.body.email })
    // 关键：给回调函数添加async标记
    .then(async(user) => {
      if(!user){
        return res.status(404).send(`User with email ${req.body.email} not found`);
      }else{
        const checkPassword = await bcrypt.compare(req.body.password, user.password);
        console.log(checkPassword);
        if(!checkPassword){
          return res.status(401).send('Wrong password entered');
        }else{
          res.send('Success, you are logged in');
        }
      }
    })
    .catch(err => {
      console.log(err);
      res.status(500).send('Server error');
    })
})

不过这种混合Promise链式和async/await的写法，代码可读性不如第一种，所以更推荐方案一。

额外小建议 #

1. 不要直接把服务器错误信息返回给客户端（生产环境），避免泄露敏感的服务器细节
2. 登录成功后可以考虑生成JWT令牌返回给前端，方便后续接口做身份验证
3. 可以对请求参数做初步校验（比如邮箱格式、密码长度），提前拦截无效请求

内容的提问来源于stack exchange，提问作者Edgar256