如何在Node.js服务端持久化识别idToken以稳定验证管理员权限？

API 探路者

2026-8-25

问题描述

我已经实现了为用户添加自定义claims的功能，登录后会调用POST请求/getMyClaims获取用户的claims类型。但以管理员身份登录时，原本应该能访问管理员专属路由，可有时block变量会莫名变为true，导致管理员被拒绝访问。我用的是Node.js、原生JavaScript和HTML，网上的资料大多适配React或Vue，找不到对应的解决方案。我试过存储block变量，但页面刷新后它就变回undefined了。

以下是我的server.js代码：

var block;

var blockware = (req,res,next) => {
    if(block == true || block == undefined){
        return res.sendStatus(401);
    }
    next();
}

app.post('/getMyClaims', async(req,res) => {
    let {uid,idToken} = req.body;
    console.log(idToken.token)
    if(idToken.claims.type === 'customer'){
        block = true;
        console.log('deny')
    } else if(idToken.claims.type === 'admin'){
        block = false;
    } else {
        block = true;
    }
})

// admin only pages
app.get(['/seller','/add-product', '/add-product/:id'], blockware, (req,res) => {
    res.sendFile(path.join(staticPath, ''))
})

请问如何让idToken每次都能被正确识别，避免管理员被错误拦截？

解决方案

问题根源

你现在的核心问题是用**全局变量block**存储权限状态：

全局变量是所有用户共享的，只要有一个普通用户调用/getMyClaims，block就会被设为true，此时所有管理员也会被拦截。
服务器重启、变量被覆盖，或者页面刷新后前端没有保留状态，都会导致block变回undefined，触发拦截逻辑。

修复步骤

1. 改用会话（Session）存储单个用户的权限

每个用户的权限需要单独存储，不能共用全局变量。使用express-session可以为每个用户创建独立的会话，保存其权限信息。

首先安装依赖：

npm install express-session

2. 配置Session中间件

在server.js中添加Session配置，确保每个用户有独立的会话存储空间：

const express = require('express');
const session = require('express-session');
const path = require('path');
const app = express();

// 配置Session（密钥换成你自己的随机字符串）
app.use(session({
  secret: 'your-own-secret-key-123',
  resave: false,
  saveUninitialized: false,
  cookie: { 
    secure: false, // 生产环境请开启HTTPS并设为true
    maxAge: 24 * 60 * 60 * 1000 // 会话有效期1天
  }
}));

// 解析JSON请求体（必须加，否则无法读取req.body）
app.use(express.json());

const staticPath = '你的静态文件目录路径';

3. 修改权限验证逻辑

移除全局变量block，把用户权限存在req.session中，并在中间件里读取当前用户的会话信息：

// 管理员权限验证中间件
const blockware = (req, res, next) => {
  // 检查会话中是否有管理员权限标识
  if (!req.session.isAdmin) {
    return res.sendStatus(401);
  }
  next();
};

app.post('/getMyClaims', async (req, res) => {
  let { uid, idToken } = req.body;

  // 关键：必须验证idToken的有效性，不能直接信任前端传来的claims！
  // 示例（以Firebase Auth为例）：
  // const decodedToken = await admin.auth().verifyIdToken(idToken.token);
  // const userType = decodedToken.claims.type;

  // 暂时先用前端传的claims，实际开发一定要加验证逻辑！
  const userType = idToken.claims.type;

  // 把权限状态存入当前用户的会话
  if (userType === 'admin') {
    req.session.isAdmin = true;
    res.json({ allowed: true });
  } else {
    req.session.isAdmin = false;
    console.log('deny');
    res.json({ allowed: false });
  }
});

// 管理员专属路由
app.get(['/seller','/add-product', '/add-product/:id'], blockware, (req,res) => {
  res.sendFile(path.join(staticPath, 'index.html')); // 确保指定正确的HTML文件名
});

4. 前端注意事项

登录后浏览器会自动保存Session的Cookie，后续页面跳转、请求都会自动携带Cookie，后端能识别当前用户的会话，不会出现刷新后权限丢失的问题。

核心注意点

必须验证idToken：永远不要直接使用前端传来的idToken.claims，一定要在后端解码并验证签名（比如用对应的Auth SDK，如Firebase Admin、Auth0等），防止恶意用户篡改权限信息。
Session的secret要设置为安全的随机字符串，生产环境要开启HTTPS并把cookie.secure设为true，避免Cookie被窃取。

内容的提问来源于stack exchange，提问作者Mergo22