如何在Express.js中结合passport-jwt与ACL模式实现权限控制？

刚好我之前做过类似的实现，其实核心就是把Passport-JWT的身份认证和自定义的权限验证中间件串联起来，完全贴合你提到的思路，我给你一步步拆解：

1. 先确保Passport-JWT正确解析用户角色 #

首先你得在配置Passport-JWT策略时，把用户的role字段从JWT令牌里提取出来，并挂载到req.user上。这里的关键是：签发JWT的时候一定要把用户的role包含进去，比如生成token的代码可以这么写：

// 签发JWT示例
const jwt = require('jsonwebtoken');

const generateToken = (user) => {
  return jwt.sign(
    { 
      id: user._id, 
      username: user.username, 
      role: user.role // 必须携带角色信息
    },
    process.env.JWT_SECRET,
    { expiresIn: '24h' }
  );
};

然后配置Passport-JWT的策略，确保验证后把包含角色的用户信息附加到req.user：

const passport = require('passport');
const JwtStrategy = require('passport-jwt').Strategy;
const ExtractJwt = require('passport-jwt').ExtractJwt;

const opts = {
  jwtFromRequest: ExtractJwt.fromAuthHeaderAsBearerToken(),
  secretOrKey: process.env.JWT_SECRET
};

passport.use(new JwtStrategy(opts, (jwtPayload, done) => {
  // 这里如果需要从数据库拉取最新用户信息也可以，JWT payload里已有role的话直接用就行
  const user = {
    id: jwtPayload.id,
    username: jwtPayload.username,
    role: jwtPayload.role
  };
  return done(null, user); // 这个user会被挂载到req.user上
}));

2. 编写通用的权限验证中间件 #

接下来写一个可复用的中间件，用来检查当前用户的角色是否在允许的列表里，支持灵活适配不同路由的权限要求：

// 检查角色权限的中间件
const checkRole = (...allowedRoles) => {
  return (req, res, next) => {
    // 先判断用户是否已通过Passport认证
    if (!req.user) {
      return res.status(401).json({ message: '请先登录' });
    }
    // 检查用户角色是否在允许范围内
    if (!allowedRoles.includes(req.user.role)) {
      return res.status(403).json({ message: '权限不足，无法访问此资源' });
    }
    next(); // 权限通过，继续执行后续逻辑
  };
};

3. 在路由中组合使用认证与权限中间件 #

现在就可以把Passport的JWT认证中间件和权限中间件一起挂载到路由上了：

const express = require('express');
const router = express.Router();

// 示例1：仅管理员和超级管理员可访问的路由
router.get('/admin/dashboard',
  passport.authenticate('jwt', { session: false }), // 先验证JWT身份
  checkRole('admin', 'super-admin'), // 再检查角色权限
  (req, res) => {
    res.json({ data: '管理员专属仪表盘内容' });
  }
);

// 示例2：普通用户和编辑均可访问的路由
router.get('/posts',
  passport.authenticate('jwt', { session: false }),
  checkRole('user', 'editor'),
  (req, res) => {
    res.json({ data: '公开文章列表' });
  }
);

进阶：更细粒度的ACL控制（按资源+操作） #

如果你的系统需要更精细的权限控制（比如不同角色对同一资源的增删改查权限不同），可以把权限规则抽成配置文件，扩展中间件：

首先创建permissions.js文件，定义角色对应的资源操作权限：

// permissions.js
module.exports = {
  admin: {
    posts: ['create', 'read', 'update', 'delete'],
    users: ['create', 'read', 'update', 'delete']
  },
  editor: {
    posts: ['create', 'read', 'update'],
    users: ['read']
  },
  user: {
    posts: ['read']
  }
};

然后编写对应的权限检查中间件：

const permissions = require('./permissions');

const checkPermission = (resource, action) => {
  return (req, res, next) => {
    if (!req.user) {
      return res.status(401).json({ message: '请先登录' });
    }
    const userPermissions = permissions[req.user.role];
    // 检查用户是否拥有该资源的指定操作权限
    if (!userPermissions || !userPermissions[resource]?.includes(action)) {
      return res.status(403).json({ message: '无此操作权限' });
    }
    next();
  };
};

在路由中使用这个细粒度中间件：

// 仅管理员和编辑可创建文章
router.post('/posts',
  passport.authenticate('jwt', { session: false }),
  checkPermission('posts', 'create'),
  (req, res) => {
    // 处理文章创建逻辑
    res.json({ message: '文章创建成功' });
  }
);

// 仅管理员可删除用户
router.delete('/users/:id',
  passport.authenticate('jwt', { session: false }),
  checkPermission('users', 'delete'),
  (req, res) => {
    // 处理用户删除逻辑
    res.json({ message: '用户删除成功' });
  }
);

一些实用注意事项 #

• 务必保证JWT令牌里包含role字段，否则Passport-JWT无法解析到角色信息。
• 如果用户角色可能动态变化（比如后台修改了用户角色），可以考虑在验证JWT时从数据库拉取最新角色，而非直接使用JWT payload里的旧角色（但会增加数据库查询开销，需要权衡）。
• 可以把权限中间件的错误提示统一用Express的全局错误处理中间件捕获，返回更规范的响应格式。

内容的提问来源于stack exchange，提问作者欧阳维杰