NodeJS中如何保护POST路由？仅允许自有应用发起请求

嘿，这个需求很典型——要保护像注册这种开放POST路由不被Postman这类工具随便调用，同时只允许自己的应用发起请求，我给你分享几个靠谱的实现思路：

这是最直接的方式：在你的自有应用发起POST请求时，带上一个自定义的请求头（比如X-Internal-App-Key），后端专门写个中间件来校验这个密钥的合法性。

举个Express的例子：

// 中间件：验证API密钥
const validateInternalAppKey = (req, res, next) => {
  const appKey = req.headers['x-internal-app-key'];
  // 从环境变量里取预设的密钥，别硬写在代码里！
  const validKey = process.env.INTERNAL_APP_KEY;
  
  if (!appKey || appKey !== validKey) {
    return res.status(403).json({ message: '无权访问此接口' });
  }
  next();
};

// 给注册路由用上这个中间件
app.post('/api/register', validateInternalAppKey, (req, res) => {
  // 注册逻辑...
});

注意：一定要把密钥存在环境变量里（比如用dotenv），绝对不能硬编码在前端代码里——不然别人很容易通过浏览器开发者工具拿到！

通过检查请求头里的Origin或Referer，判断请求是否来自你的自有域名。这招能挡住大部分直接用Postman瞎试的情况，但要注意：这两个头是可以伪造的，所以不能作为唯一的保护手段，最好和其他方案结合用。

示例中间件：

const validateRequestOrigin = (req, res, next) => {
  const allowedOrigins = ['https://your-app-domain.com', 'http://localhost:3000']; // 允许的来源
  const origin = req.headers.origin;
  
  if (!origin || !allowedOrigins.includes(origin)) {
    return res.status(403).json({ message: '请求来源不合法' });
  }
  next();
};

// 注册路由使用
app.post('/api/register', validateRequestOrigin, (req, res) => {
  // 注册逻辑...
});

注册接口本来就怕批量机器人注册，直接加个验证码（比如Google reCAPTCHA v2/v3）是一举两得的办法：既挡住了Postman的随意调用，又防了机器人批量注册。

实现思路：

• 前端在注册页面加载reCAPTCHA组件，用户提交时获取验证token
• 后端把这个token发送到reCAPTCHA的验证接口，确认是真人操作后再执行注册逻辑

示例后端验证逻辑（Express）：

const axios = require('axios');

app.post('/api/register', async (req, res) => {
  const { recaptchaToken } = req.body;
  
  // 调用reCAPTCHA验证接口
  const verifyRes = await axios.post('https://www.google.com/recaptcha/api/siteverify', null, {
    params: {
      secret: process.env.RECAPTCHA_SECRET_KEY,
      response: recaptchaToken
    }
  });
  
  if (!verifyRes.data.success) {
    return res.status(403).json({ message: '人机验证失败' });
  }
  
  // 执行注册逻辑...
});

如果你的接口安全性要求极高，可以用HMAC签名的方式：前端用预设的密钥对请求体+时间戳进行签名，后端用同样的算法验证签名的合法性，同时检查时间戳防止重放攻击。

示例（简化版）：

// 前端签名逻辑（伪代码）
const secretKey = process.env.INTERNAL_APP_KEY;
const timestamp = Date.now().toString();
const requestBody = JSON.stringify({ username: 'xxx', password: 'xxx' });
// 用HMAC-SHA256生成签名
const signature = crypto.createHmac('sha256', secretKey).update(timestamp + requestBody).digest('hex');

// 发起请求时带上timestamp和signature头
fetch('/api/register', {
  method: 'POST',
  headers: {
    'X-Request-Timestamp': timestamp,
    'X-Request-Signature': signature,
    'Content-Type': 'application/json'
  },
  body: requestBody
});

// 后端验证中间件
const validateRequestSignature = (req, res, next) => {
  const timestamp = req.headers['x-request-timestamp'];
  const signature = req.headers['x-request-signature'];
  const secretKey = process.env.INTERNAL_APP_KEY;
  
  // 检查时间戳是否在有效期内（比如5分钟）
  if (Date.now() - parseInt(timestamp) > 5 * 60 * 1000) {
    return res.status(403).json({ message: '请求已过期' });
  }
  
  // 重新计算签名
  const requestBody = JSON.stringify(req.body);
  const calculatedSignature = crypto.createHmac('sha256', secretKey).update(timestamp + requestBody).digest('hex');
  
  if (signature !== calculatedSignature) {
    return res.status(403).json({ message: '请求签名无效' });
  }
  
  next();
};

• 永远不要把敏感密钥暴露在前端代码里，全部存在后端环境变量中
• 如果是纯前端应用（没有后端服务），API密钥的保护会更难，这时候优先考虑人机验证+请求来源校验的组合
• 可以根据接口的敏感程度选择方案：注册接口用API密钥+验证码就足够，更敏感的接口再上签名验证

内容的提问来源于stack exchange，提问作者Kevin.a