Express Router多角色权限校验逻辑或||不生效问题求解

authSupport || authMasterAdmin || authAdmin 写法完全不符合Express中间件的执行逻辑，根本实现不了「任意一个校验通过就放行」的效果：

• Express在服务启动加载路由时，就会把传入的中间件按顺序注册到执行链里，||是JS原生逻辑运算符，会在注册阶段直接对三个中间件函数做布尔求值
• 三个导入的角色中间件都是函数类型，属于恒为真的truthy值，因此这个表达式最终只会返回第一个authSupport，后面authMasterAdmin、authAdmin两个中间件根本没有被注册到路由的执行链中
• 所有请求到这个接口时，登录校验通过后只会执行authSupport的校验逻辑，只要用户role不是2就直接返回权限拒绝，和你遇到的Admin、MasterAdmin账号访问报错的现象完全一致。

另外补充：你现有单个角色中间件里权限校验失败返回500状态码不符合HTTP规范，权限不足应该返回403 Forbidden状态码，500是服务内部错误的语义。

方案1（推荐，可维护性最高） #

你现在三个角色中间件逻辑完全重复，仅校验的role值不同，完全可以抽离成一个可配置的通用角色校验中间件，不需要维护三个逻辑几乎一样的文件。

1. 新建通用角色校验中间件 middleware/authRole.js：

const Users = require('../models/userModel');

/**
 * 角色权限校验中间件
 * @param  {...number} allowedRoles 允许访问的角色role值列表
 * @returns 
 */
const authRole = (...allowedRoles) => {
  return async (req, res, next) => {
    try {
      const user = await Users.findOne({ _id: req.user.id });
      // 当前用户角色在允许列表内则放行
      if (allowedRoles.includes(user.role)) {
        return next();
      }
      return res.status(403).json({ msg: 'Resources access denied.' });
    } catch (err) {
      return res.status(500).json({ msg: err.message });
    }
  }
};

module.exports = authRole;

2. 修改原有路由配置，替换掉三个独立的角色中间件：

const router = require('express').Router();
const paymentCtrl = require('../controllers/paymentCtrl');
const auth = require('../middleware/auth');
// 引入通用角色校验中间件
const authRole = require('../middleware/authRole');

router
  .route('/payment')
  // 注意：括号里的数字替换成你系统里实际对应角色的role值，示例按Support=2、Admin=1、MasterAdmin=3配置
  .get(auth, authRole(1, 2, 3), paymentCtrl.getPayments)
  .post(auth, paymentCtrl.createPayPalPayment);

这个方案的优势是后续所有接口的权限控制都可以复用这个中间件，比如仅超级管理员可访问的接口写authRole(3)，管理员和超级管理员可访问的写authRole(1,3)，不需要再新增重复的中间件文件。

方案2（兼容现有中间件，不推荐长期使用） #

如果你暂时不想重构现有三个独立的角色中间件，需要先修改单个角色中间件的逻辑：校验不通过时不要直接返回响应，而是把控制权交给下一个中间件，直到所有角色中间件都校验不通过再返回权限错误。但这个方案本质是为了兼容冗余代码，维护成本高，优先选方案1即可。

内容的提问来源于stack exchange，提问作者zuZuu