Express.js如何实现不同登录用户间的私有资源访问权限隔离

你描述的是典型的水平越权（IDOR）防护场景，以下是可直接匹配该需求的工具库与落地逻辑：

分技术栈可直接复用的工具库 #

• Node.js/Express 技术栈
  • 通用场景可选用casbin访问控制引擎，自定义匹配规则即可完成路径参数与登录用户标识的比对拦截，无需零散编写重复校验逻辑
  • 轻量快速开发场景可选用express-authorization，原生支持路由参数级别的所有权校验，配置流程简单
• Java Spring 技术栈
  • 无需引入额外重型依赖，直接使用Spring Security自带的@PreAuthorize注解，配合SpEL表达式即可完成路径参数比对，比如配置校验规则#userId == authentication.principal.id，即可拦截越权请求
  • 多资源类型的复杂场景可引入Spring Security ACL模块，统一管理各类资源的所有权校验规则
• Python Flask/Django 技术栈
  • Django REST Framework 可直接自定义对象级权限类，无需额外依赖，在权限逻辑中完成路径参数与当前登录用户ID的比对即可
  • Flask 场景可选用flask-authorizer，专门适配路径参数的所有权校验场景
• 所有通过BFF层对接前端的Web应用，上述校验逻辑完全通用，不与前端框架强绑定

零依赖极简实现方式 #

这类单参数等值比对的场景逻辑非常固定，完全可以不引入额外工具库，通过全局/路由级前置中间件完成校验：

1. 从服务端存储的登录会话上下文，获取当前已登录用户的真实userId，绝对不能信任请求路径、请求体中携带的userId作为身份依据
2. 从路由匹配结果中提取路径参数里的目标userId
3. 对两个值做严格等值校验，若不一致直接返回403响应，不进入后续业务流程

参考Express版本校验代码示例：

router.get('/:userId/resourceX', (req, res, next) => {
  const loginUserId = req.session.loginInfo.userId // 从服务端加密会话取身份信息
  const targetUserId = Number(req.params.userId)
  if (loginUserId !== targetUserId) {
    return res.status(403).send('无权访问他人专属资源')
  }
  // 正常执行业务逻辑
})

注意：所有权校验的用户ID来源必须是服务端签发的登录凭证，不能从客户端可篡改的请求参数中读取，否则校验逻辑很容易被绕过。

内容的提问来源于stack exchange，提问作者Panos