Node.js Express带参数权限校验中间件改造及返回undefined问题

你的问题核心有两个：一是checkAuth函数因为异步操作的回调机制导致返回undefined；二是需要将它改造成符合Express中间件规范的形式，既能接收权限码参数，又能结合token解析出的userId完成校验。下面是分步解决方案：

1. 理解为什么原函数返回undefined #

原checkAuth里使用了MongoDB的exec()回调，这是异步操作。外层函数在回调执行前就已经完成了返回，所以你调用checkAuth(...)时拿到的是默认的undefined，回调里的return true/false根本传不到外层。

2. 重构权限校验逻辑为异步函数 #

先把权限校验改成返回Promise的异步函数（用async/await更直观），这样能正确获取异步操作的结果：

// checkAuth.js
const User = require('../models/user')

// 核心权限校验逻辑：异步函数，返回布尔值或抛出错误
const checkPermission = async (userId, actionCode) => {
  try {
    const user = await User.findOne({ _id: userId })
      .populate({
        path: 'user_role',
        populate: {
          path: 'permissions',
          match: { action_code: actionCode }
        }
      })

    if (!user) {
      throw new Error('用户不存在')
    }

    // 判断是否有匹配的权限
    return user.user_role.permissions.length > 0
  } catch (err) {
    console.error('权限校验出错:', err)
    throw err // 抛出错误，让中间件统一处理
  }
}

3. 包装成支持参数的Express中间件 #

Express中间件只能接收req, res, next三个参数，所以我们用闭包创建一个中间件工厂函数：接收权限码参数，返回真正的中间件函数，这个中间件可以访问到权限码，同时从req中获取checkToken解析出的userId。

把下面的代码加到checkAuth.js中：

// 中间件工厂：传入权限码，返回Express中间件
module.exports = (permissionCode) => {
  return async (req, res, next) => {
    try {
      // 调用核心校验逻辑
      const hasPermission = await checkPermission(req.decoded.userId, permissionCode)
      
      if (!hasPermission) {
        return res.status(403).json({ message: '权限不足，无法访问' })
      }

      // 权限通过，执行后续路由逻辑
      next()
    } catch (err) {
      return res.status(500).json({ message: '权限校验失败' })
    }
  }
}

4. 路由中正确使用中间件 #

现在你可以直接在路由链中使用改造后的checkAuth，传入对应的权限码即可：

router.get('/luu', checkToken, checkAuth("1"), (req, res) => {
  // 到这里已经通过了token校验和权限校验，直接写业务逻辑
  res.json({ message: '访问成功', data: '你的业务数据' })
})

这样改造后，既解决了异步返回undefined的问题，又符合Express中间件的使用规范，能优雅地完成权限校验：

• 先通过checkToken解析token并把用户信息放到req.decoded中
• 再通过checkAuth("1")生成的中间件校验用户是否拥有权限码为"1"的权限
• 有权限则进入路由处理函数，无权限则直接返回403错误

内容的提问来源于stack exchange，提问作者Huỳnh Phong Lưu