电商APP提交订单POST请求报500错误，Postman调用正常

开发电商APP时，调用创建订单的POST接口返回500错误，报错信息：

Order validation failed: userId: Path userId is required.

但该接口在Postman中可以正常调用，APP内调用却出现服务器错误。

服务器端订单路由代码 #

router.post("/", verifyToken, async (req, res) => {
  const newOrder = new Order(req.body);
  try {
    const savedOrder = await newOrder.save();
    res.status(200).json(savedOrder);
  } catch (err) {
    res.status(500).json(err);
  }
});

verifyToken中间件代码 #

const verifyToken = (req,res,next)=>{
    const authHeader = req.headers.token;
    if(authHeader){
        const token = authHeader.split(" ")[1];
        jwt.verify(token, process.env.JWT_SECRET, (err, user)=>{
            if(err) res.status(403).json("Token is not correct.");
            req.user = user;
            next();
        })
    }else{
        return res.status(401).json("No token provided. You are not authenticated.");
    }
};

客户端createOrder函数代码 #

const createOrder = async () => {
      try {
        const res = await axios.post("https://ecommerce-store12321.herokuapp.com/api/orders", {
          userId: currentUser._id,
          products: cart.products.map((item) => ({
            productId: item._id,
            quantity: item._quantity,
          })),
          amount: cart.total,
          address: data.billing_details.address,
        }, {
          headers: { token: `Bearer ${TOKEN}` }
        });
        setOrderId(res.data._id);
      } catch(err) {
        console.log(err)
      }
    };

Order Schema代码 #

const mongoose = require("mongoose")

const OrderSchema = new mongoose.Schema(
    {
        userId: {type: String, required:true},
        products: [
            {
            productId: {
                type: String
            },
            quantity: {
                type: Number,
                default: 1,
            }
          },
       ],
       amount: {type: Number, required: true},
       address: { type: Object, required: true},
       status: {type: String, default: "pending"}
    },
    { timestamps: true}
);

module.exports = mongoose.model("Order", OrderSchema)

核心问题排查 #

1. 客户端currentUser状态异常：Postman调用时手动传入了正确的userId，而APP中currentUser._id可能为空或未正确获取。可在createOrder函数开头添加console.log(currentUser)，确认currentUser是否存在且_id字段有效。
2. 服务器端依赖客户端传参存在风险：既然已经通过verifyToken中间件解析出用户信息并存入req.user，完全可以直接从req.user中提取userId，无需客户端传递，既避免客户端传参错误，也提升接口安全性。

具体修复步骤 #

步骤1：修复客户端参数问题（临时方案） #

确认currentUser已正确初始化，保证用户登录后currentUser能正确存储用户ID。若使用状态管理工具（如Redux、Context），检查状态更新逻辑是否正常。

步骤2：优化服务器端逻辑（推荐方案） #

修改服务器端订单路由代码，从req.user中获取userId，无需依赖客户端传参：

router.post("/", verifyToken, async (req, res) => {
  // 从token解析的用户信息中获取userId，需与JWT签发时存储的字段一致
  const newOrder = new Order({
    ...req.body,
    userId: req.user.id // 若JWT签发时存储的是_id，则改为req.user._id
  });
  try {
    const savedOrder = await newOrder.save();
    res.status(200).json(savedOrder);
  } catch (err) {
    res.status(500).json(err);
  }
});

步骤3：完善verifyToken中间件错误处理 #

在token验证失败时添加return，避免后续代码继续执行：

const verifyToken = (req,res,next)=>{
    const authHeader = req.headers.token;
    if(authHeader){
        const token = authHeader.split(" ")[1];
        jwt.verify(token, process.env.JWT_SECRET, (err, user)=>{
            if(err) {
                return res.status(403).json("Token is not correct.");
            }
            req.user = user;
            next();
        })
    }else{
        return res.status(401).json("No token provided. You are not authenticated.");
    }
};

内容的提问来源于stack exchange，提问作者Matthew Bailin