启用自定义角色后Loopback ACL默认角色失效问题

结合你描述的场景——已登录的Super Admin和TeamMember都能正常按数据库存储的ACL操作模型，但未认证的登录API一直处于pending状态无响应，核心问题大概率出在未认证请求的权限校验逻辑分支上：已认证请求能正常走通，说明数据库ACL查询、角色匹配这些核心逻辑是没问题的，问题就出在未登录状态下的特殊处理环节。

下面是具体的排查方向和解决步骤：

1. 检查权限中间件的未认证分支逻辑 #

• 首先确认你的权限校验中间件是否给登录这类公开接口做了特殊放行？如果没放行，中间件可能会尝试获取当前用户的角色，再去数据库查询ACL，但未登录用户没有角色标识，要么触发了无意义的数据库查询（比如传入undefined作为角色参数），要么中间件里存在未处理的空值逻辑，导致请求卡在校验环节。
• 举个反例，如果你的中间件代码是这样的：

  async function aclMiddleware(req, res, next) {
    const role = req.user?.role; // 未登录时role为undefined
    // 直接查询ACL，未处理role为空的情况
    const aclRules = await db.query('SELECT * FROM acl WHERE role = ?', [role]);
    // 后续权限校验逻辑...
  }
  

  这种情况下，未登录时的数据库查询可能返回空但中间件没做兜底，或者查询逻辑因参数异常陷入等待，最终导致请求pending。
• 解决办法：在中间件开头先判断请求路径是否是公开接口（比如/login），直接跳过ACL校验；或者对role为空的情况做明确处理——比如放行登录接口，或直接返回401未认证，避免请求挂起。

2. 给数据库查询添加超时和异常捕获 #

• 已登录时查询ACL正常，但未登录时传入空角色的查询可能触发了数据库的慢查询，或者你的代码没有设置查询超时、也没捕获异常，导致请求一直等待数据库响应。
• 解决办法：给数据库查询添加超时配置，同时用try/catch包裹查询逻辑，一旦出现异常就及时处理，不让请求挂着：

  try {
    // 设置5秒超时，避免无限等待
    const aclRules = await db.query('SELECT * FROM acl WHERE role = ?', [role], { timeout: 5000 });
    // 正常权限校验逻辑
  } catch (err) {
    console.error('ACL查询异常:', err);
    // 未认证场景下，直接放行登录接口
    if (req.path === '/login') return next();
    // 其他未认证接口返回明确的401错误
    return res.status(401).json({ message: '请先登录' });
  }
  

3. 确认公开接口是否被权限中间件误拦截 #

• 很多时候我们会给所有接口统一挂载权限中间件，但忘记把登录、注册这类无需认证的接口排除在外，导致未登录时请求登录接口，先进入了权限校验逻辑，而校验逻辑因没有用户信息卡住。
• 解决办法：注册中间件时，用路径匹配排除公开接口，比如：

  // 除了/login和/register，其他接口都走ACL校验
  app.use(/^(?!\/login|\/register).*$/, aclMiddleware);
  

4. 排查Promise链是否存在未处理的分支 #

• 如果你的ACL逻辑用到了Promise，但未登录时某个Promise没有resolve或reject，也会导致请求pending。比如获取用户角色的逻辑，在未登录时返回了一个永远不完成的Promise。
• 解决办法：梳理整个权限校验的异步流程，确保所有分支都有明确的结束逻辑——用async/await配合try/catch覆盖所有异常，避免出现“悬而未决”的Promise。

内容的提问来源于stack exchange，提问作者Lalith kumar