Node多认证路由配置咨询：用户与管理员路由的多Passport方案实现

嘿，刚接触这些技术就能尝试搭建多认证路由的网站，已经很棒了！针对你的两个问题，我来一步步给你梳理清楚：

是否需要为「account」和「admin」分别配置不同名称的认证方案？ #

这得看你的认证逻辑差异来决定：

• 如果普通用户和管理员只是权限级别不同（比如都用邮箱+密码登录生成JWT，只是JWT的role字段区分身份）：完全不需要分开配置认证方案！可以共用同一个Passport策略，在路由层面加一个角色校验中间件来区分权限即可。
• 如果两者的认证方式本身就不一样（比如普通用户用手机号+验证码登录，管理员用企业邮箱+二次验证登录）：这时候必须为它们配置不同名称的Passport策略，这样在路由里可以明确指定用哪个策略来完成身份验证。

举个不同认证方式的策略定义示例：

// 普通用户JWT策略
passport.use('jwt-user', new JwtStrategy({
  jwtFromRequest: ExtractJwt.fromAuthHeaderAsBearerToken(),
  secretOrKey: process.env.USER_JWT_SECRET
}, (payload, done) => {
  // 仅查询普通用户或过滤role为user的账号
  User.findOne({ _id: payload.sub, role: 'user' }, (err, user) => {
    done(err, user);
  });
}));

// 管理员JWT策略
passport.use('jwt-admin', new JwtStrategy({
  jwtFromRequest: ExtractJwt.fromAuthHeaderAsBearerToken(),
  secretOrKey: process.env.ADMIN_JWT_SECRET // 甚至可以用独立的密钥提升安全性
}, (payload, done) => {
  // 仅查询管理员或过滤role为admin的账号
  User.findOne({ _id: payload.sub, role: 'admin' }, (err, admin) => {
    done(err, admin);
  });
}));

多级认证架构示例 #

这里给你两种常见的多级认证架构实现方式，你可以根据自己的需求选择：

场景1：共用JWT策略 + 角色校验中间件 #

适合认证方式相同、仅权限级别不同的场景：

// 1. 通用JWT认证策略
passport.use('jwt', new JwtStrategy({
  jwtFromRequest: ExtractJwt.fromAuthHeaderAsBearerToken(),
  secretOrKey: process.env.JWT_SECRET
}, (payload, done) => {
  User.findById(payload.sub, (err, user) => {
    if (err) return done(err);
    if (!user) return done(null, false);
    return done(null, user);
  });
}));

// 2. 可复用的角色校验中间件
const checkRole = (requiredRole) => (req, res, next) => {
  if (req.user.role !== requiredRole) {
    return res.status(403).json({ message: '权限不足，无法访问此资源' });
  }
  next();
};

// 3. 路由配置
app.use('/account', 
  passport.authenticate('jwt', { session: false }),
  checkRole('user'),
  accountRouter // 挂载普通用户的路由集合
);

app.use('/admin', 
  passport.authenticate('jwt', { session: false }),
  checkRole('admin'),
  adminRouter // 挂载管理员的路由集合
);

场景2：独立认证策略 #

适合认证方式不同的场景：

// 1. 普通用户登录接口（生成用户专属JWT）
app.post('/login/user', (req, res) => {
  // 验证普通用户的账号密码
  User.findOne({ email: req.body.email }, (err, user) => {
    if (!user || !user.validPassword(req.body.password)) {
      return res.status(401).json({ message: '账号或密码错误' });
    }
    const token = jwt.sign({ sub: user._id, role: 'user' }, process.env.USER_JWT_SECRET);
    res.json({ token });
  });
});

// 2. 管理员登录接口（生成管理员专属JWT）
app.post('/login/admin', (req, res) => {
  // 验证管理员账号+二次验证码
  Admin.findOne({ email: req.body.email }, (err, admin) => {
    if (!admin || !admin.validPassword(req.body.password) || !admin.verify2FA(req.body.code)) {
      return res.status(401).json({ message: '认证失败，请检查账号信息' });
    }
    const token = jwt.sign({ sub: admin._id, role: 'admin' }, process.env.ADMIN_JWT_SECRET);
    res.json({ token });
  });
});

// 3. 路由配置
app.use('/account', 
  passport.authenticate('jwt-user', { session: false }),
  accountRouter
);

app.use('/admin', 
  passport.authenticate('jwt-admin', { session: false }),
  adminRouter
);

最后给你几个小建议：

• 不管哪种实现方式，都要确保JWT的payload里包含清晰的角色标识（比如role: 'user'），方便后续权限校验。
• 管理员的认证逻辑建议更严格，比如增加IP白名单、二次验证等安全措施。
• 可以把权限校验、认证逻辑封装成独立的中间件，避免重复代码，让路由配置更简洁。

内容的提问来源于stack exchange，提问作者Eyal Zinder