如何用JWT保护LoopBack v4自动生成的REST CRUD模型端点？

LoopBack 4通过RepositoryRestMixin自动生成的CRUD端点没有显式控制器类，没法直接添加@authenticate装饰器，不过有三种实用方法可以用JWT保护这些端点：

方法1：全局启用认证，排除公开端点 #

如果想让所有自动生成的CRUD端点都受保护，仅放开少数公开路径（比如用户登录、注册），可以全局注册认证拦截器：

1. 确保你已经完成JWT认证组件的基础配置（包括引入AuthenticationComponent、JWTAuthenticationComponent，配置JWT密钥、策略等）。
2. 在应用类（src/application.ts）中添加全局拦截器，并配置排除路径：

import {AuthenticationBindings, authenticate} from '@loopback/authentication';
import {ApplicationConfig, BootMixin, RepositoryMixin, RestApplication} from '@loopback/rest';

export class YourApp extends BootMixin(RepositoryMixin(RestApplication)) {
  constructor(options: ApplicationConfig = {}) {
    super(options);

    // ... 数据库、JWT组件等已有配置

    // 全局应用JWT认证拦截器
    this.intercept(authenticate('jwt'));

    // 配置不需要认证的路径
    this.configure(AuthenticationBindings.COMPONENT).to({
      skipPaths: [
        '/users/login',
        '/users/signup',
        // 按需添加其他公开端点
      ],
    });
  }
}

这样所有自动生成的CRUD端点都会要求携带有效JWT token，只有skipPaths里的路径允许匿名访问。

方法2：为特定模型的CRUD端点单独加认证 #

如果只想保护部分模型的CRUD端点，可以在注册仓库时指定装饰器：

在应用类中注册目标仓库时，通过decorators参数添加@authenticate('jwt')：

import {ProductRepository} from './repositories/product.repository';
import {authenticate} from '@loopback/authentication';

// ... 应用类构造函数内
this.repository(ProductRepository, {
  decorators: [authenticate('jwt')],
});

这样只有Product模型的自动CRUD端点会被JWT保护，其他未配置的模型端点保持公开。

方法3：通过模型装饰器配置认证 #

还可以直接在模型类上设置，让生成的CRUD端点自动继承认证规则：

在模型文件（比如src/models/product.model.ts）中，修改@model装饰器的settings：

import {model, property, Entity} from '@loopback/repository';
import {authenticate} from '@loopback/authentication';

@model({
  settings: {
    rest: {
      decorators: [authenticate('jwt')],
    },
  },
})
export class Product extends Entity {
  @property({type: 'number', id: true, generated: true})
  id?: number;

  // ... 其他模型属性
}

当RepositoryRestMixin为这个模型生成CRUD控制器时，会自动应用@authenticate('jwt')装饰器，保护所有相关端点。

验证生效 #

启动应用后，尝试访问受保护的端点（比如GET /products）：

• 未携带JWT token时，会返回401 Unauthorized
• 携带有效token时，能正常返回数据

内容的提问来源于stack exchange，提问作者Dan Wagner