NodeJS嵌套路由场景下如何仅使用指定路由的部分功能？

可行的实现方案 #

方案1（最推荐）：抽离路由处理逻辑，按需挂载 #

你当前的问题核心是把路由定义和业务处理逻辑耦合在了schools.routes.js单个文件里，直接挂载整个路由实例必然会暴露所有接口，把处理逻辑抽离后分别在两个路由文件中按需引用即可：

1. 新建schools.handlers.js，把schools.routes.js里每个接口的业务处理函数单独导出：

// schools.handlers.js
exports.createSchool = async (req, res) => { /* 原有创建学校的业务逻辑 */ }
exports.deleteSchool = async (req, res) => { /* 原有删除学校的业务逻辑 */ }
exports.schoolLogin = async (req, res) => { /* 原有学校登录的业务逻辑 */ }
exports.addTeacher = async (req, res) => { /* 原有新增教师的业务逻辑 */ }
// 其他学校相关接口的处理函数

2. 调整schools.routes.js，仅保留学校侧需要的路由定义：

// schools.routes.js
const express = require('express')
const router = express.Router()
const handlers = require('./schools.handlers')
const schoolAuthMiddleware = require('你的学校身份JWT鉴权中间件路径')

router.post('/login', handlers.schoolLogin)
router.post('/teachers', schoolAuthMiddleware, handlers.addTeacher)
// 其他学校侧需要的路由定义
module.exports = router

3. 在admins.routes.js中直接引入需要的处理函数，单独挂载路由，不需要引入整个schoolsRouter：

// admins.routes.js
const express = require('express')
const router = express.Router()
const schoolHandlers = require('./schools.handlers')
const adminAuthMiddleware = require('你的管理员身份JWT鉴权中间件路径')

// 仅挂载管理员需要的两个学校操作接口
router.post('/schools', adminAuthMiddleware, schoolHandlers.createSchool)
router.delete('/schools/:id', adminAuthMiddleware, schoolHandlers.deleteSchool)
// 其他管理员相关路由
module.exports = router

该方案逻辑解耦清晰，后续迭代维护成本最低，且天然不会暴露多余接口。

方案2（兼容现有代码的临时方案）：白名单拦截 #

如果不想改动现有schools.routes.js的结构，可以在挂载路由时加一层白名单校验中间件，仅放行允许管理员访问的接口：

// admins.routes.js
const allowedSchoolApis = [
  { method: 'POST', path: /^\/$/ }, // 对应POST /admins/schools 创建学校
  { method: 'DELETE', path: /^\/[a-zA-Z0-9]+$/ } // 对应DELETE /admins/schools/:id 删除学校
]

// 先加白名单校验中间件，再挂载schoolsRouter
adminsRouter.use('/schools/', (req, res, next) => {
  const isAllowed = allowedSchoolApis.some(api => {
    return req.method === api.method && api.path.test(req.path)
  })
  if (isAllowed) return next()
  return res.status(403).json({ msg: '无权访问该接口' })
}, schoolsRouter)

注意该方案后续调整路由时需要同步维护白名单规则，长期维护成本较高。

额外建议 #

不管用哪种方案，都建议给所有接口加上对应角色的JWT鉴权中间件：学校侧接口校验JWT中的身份为学校用户、管理员侧接口校验JWT中的身份为管理员，就算路由配置出现疏漏，鉴权层也能做最后一层拦截，避免权限泄露。

内容的提问来源于stack exchange，提问作者M.Olaby