Node.js中如何基于用户身份实现评论更新与删除的权限控制？

核心逻辑 #

你当前的漏洞是没有校验当前登录用户是否为评论的发布者，只需在执行更新/删除操作前，增加当前用户ID与评论writer字段匹配校验的逻辑即可，具体实现思路如下：

• 第一步：确保你的userAuthorization鉴权中间件可正常将JWT解析出的登录用户ID挂载到req.userId上，这是权限校验的前提
• 第二步：查询评论时，可直接将评论ID和writer字段同时作为查询条件，无需先查再校验，一步实现权限判断
• 第三步：如果查询结果为空，说明要么评论不存在，要么当前用户无操作权限，直接返回403权限错误即可
• 第四步：校验通过后再执行对应的更新/删除操作

修正后的代码示例 #

评论更新接口优化 #

router.put('/event/:cmt_id/comment', userAuthorization, async (req, res) => {
  try {
    const { cmt_id } = req.params;
    const currentUserId = req.userId;
    // 直接同时按评论ID和发布者ID查询，天然带权限校验
    const updatedComment = await CommentSchema.findOneAndUpdate(
      { _id: cmt_id, writer: currentUserId }, // 两个查询条件，少一个都查不到
      req.body,
      { new: true }
    );
    // 没查到说明无权限或评论不存在
    if (!updatedComment) {
      return res.status(403).json({ status: 'error', message: '无权限操作该评论或评论不存在' });
    }
    return res.json({ status: 'success', message: '评论更新成功', data: updatedComment });
  } catch (error) {
    res.status(500).json({ status: 'error', message: error.message });
  }
});

评论删除接口逻辑参考 #

router.delete('/event/:cmt_id/comment', userAuthorization, async (req, res) => {
  try {
    const { cmt_id } = req.params;
    const deletedComment = await CommentSchema.findOneAndDelete({
      _id: cmt_id,
      writer: req.userId
    });
    if (!deletedComment) {
      return res.status(403).json({ status: 'error', message: '无权限操作该评论或评论不存在' });
    }
    return res.json({ status: 'success', message: '评论删除成功' });
  } catch (error) {
    res.status(500).json({ status: 'error', message: error.message });
  }
});

额外注意点 #

• 若你习惯先查询评论再做校验，记得要将comment.writer（ObjectId类型）转成字符串后再和req.userId（字符串类型）比对，否则会因为类型不一致导致匹配失败，示例：

const comment = await CommentSchema.findById(cmt_id);
if (!comment) return res.status(404).json({message: '评论不存在'});
if (comment.writer.toString() !== req.userId) {
  return res.status(403).json({message: '无权限操作该评论'});
}

• 前端展示评论时也可以做交互层的权限判断：仅当当前登录用户ID和评论发布者ID一致时，才展示编辑、删除按钮，减少无效请求。

内容的提问来源于stack exchange，提问作者Jonh