通过Express req参数传递解码后的JWT数据是否是合理方案？

1. 完全不需要两次校验token #

token校验的核心目标就是完成验签、确认用户状态与访问权限，你已经在Authorize中间件中完成了全流程校验，重复调用jwt.verify没有任何实际价值，只会无谓消耗服务器算力，请求量较大时还会放大冗余开销，若两次校验逻辑不一致还可能引入额外bug。

2. 将解码后的数据挂载到req对象是最通用的解决方案 #

不管是Express还是Koa，请求上下文（req/ctx）本身的设计目的就是在请求生命周期内，给中间件、控制器传递共享数据。将校验后的用户信息挂载到req.auth或者req.user是Node.js生态的标准做法，passport、express-jwt等主流身份校验中间件均采用该实现方案。
你完全不需要对user_id做加密存储，这些数据仅存在当前请求的内存上下文里，请求结束后整个req对象会被GC回收，用完手动置为null属于冗余操作，没有必要。
常规实现示例如下：

// Authorize中间件核心逻辑
function Authorize(requiredRole) {
  return async (req, res, next) => {
    try {
      const token = req.headers.authorization?.split(' ')[1]
      const decoded = jwt.verify(token, process.env.JWT_SECRET)
      // 校验用户状态、权限
      const user = await User.findById(decoded.user_id)
      if (!user || user.status !== 'active' || !user.roles.includes(requiredRole)) {
        return res.status(403).send('无访问权限')
      }
      // 校验通过后挂载用户信息，后续所有中间件、控制器都可直接读取
      req.user = { id: decoded.user_id, role: decoded.user_role }
      next()
    } catch (err) {
      return res.status(401).send('token无效')
    }
  }
}

后续在MangaController.store中直接读取req.user.id即可使用，不需要额外校验。

3. 将解码后的数据存入req参数没有任何问题 #

你朋友的担忧没有实际依据，只要遵循两个基础原则就不会有安全风险：

• 仅将经过校验的非敏感信息挂载到req上，不要存放JWT密钥、用户明文密码等敏感数据
• 不要将req上的内部用户信息未经处理直接返回给前端，仅在服务端内部流转
  该实践已经在工业界应用十余年，是所有Node.js Web服务的常规操作，不存在所谓的“严重问题”。

内容的提问来源于stack exchange，提问作者Waifu_Forever