Express JWT中间件：实现管理员与客户共享API路由的认证方案

嘿，这个需求在权限控制里挺常见的，我给你几个实用的实现思路，都是日常开发里验证过的，你可以根据自己的代码结构选最合适的：

方法1：创建通用多角色校验中间件（最推荐） #

这种方式复用性极强，以后其他API需要多角色访问时直接拿过来用就行。

先写一个能接受角色列表的中间件函数：

// 通用角色校验中间件
const authorizeRoles = (...allowedRoles) => {
  return (req, res, next) => {
    // 假设你的JWT解析后把用户信息存在req.user里，包含role字段
    const userRole = req.user.role;
    if (allowedRoles.includes(userRole)) {
      return next(); // 角色符合，继续执行后续业务逻辑
    }
    return res.status(403).json({ message: '权限不足，无法访问该资源' });
  };
};

然后在路由里直接调用这个中间件，传入允许的角色：

router.route('/customers')
  .get(ctrlCustomers.authenticate, authorizeRoles('customer', 'admin'), ctrlCustomers.getFunction);

这里ctrlCustomers.authenticate负责验证用户是否登录并解析JWT，authorizeRoles专门校验角色是否在允许范围内，完美适配你的需求。

方法2：调整现有中间件逻辑后组合使用 #

如果不想新建中间件，也可以修改现有角色中间件的逻辑，让它们在角色不匹配时不直接返回错误，而是继续尝试下一个中间件。

比如原来的管理员中间件可能是这样的：

// 原管理员中间件（仅允许管理员）
const adminMiddleware = (req, res, next) => {
  if (req.user.role !== 'admin') {
    return res.status(403).json({ message: '仅管理员可访问' });
  }
  next();
};

修改成：

// 修改后的管理员中间件（匹配则通过，不匹配则跳过当前路由逻辑）
const adminMiddleware = (req, res, next) => {
  if (req.user.role === 'admin') {
    return next(); // 角色匹配，直接进入业务处理
  }
  next('route'); // 角色不匹配，跳过当前路由的后续中间件
};

// 同理修改客户中间件
const customerMiddleware = (req, res, next) => {
  if (req.user.role === 'customer') {
    return next();
  }
  next('route');
};

然后在路由里同时挂载这两个中间件：

router.route('/customers')
  .get(ctrlCustomers.authenticate, adminMiddleware, customerMiddleware, ctrlCustomers.getFunction);

这样只要用户是管理员或客户，其中一个中间件就会触发next()进入业务逻辑；如果都不是，就会返回权限不足。

方法3：直接在业务函数里校验（临时快速方案） #

如果只是这个API需要特殊处理，不想改动中间件结构，也可以直接在getFunction里加角色判断：

// 在ctrlCustomers.getFunction中添加角色校验
const getFunction = (req, res) => {
  const allowedRoles = ['customer', 'admin'];
  if (!allowedRoles.includes(req.user.role)) {
    return res.status(403).json({ message: '权限不足' });
  }
  // 原本的业务逻辑代码...
};

路由写法保持不变：

router.route('/customers').get(ctrlCustomers.authenticate, ctrlCustomers.getFunction);

这个方法适合临时快速解决问题，但复用性差，不推荐大量使用。

最后提醒下：不管用哪种方法，一定要确保authenticate中间件已经正确解析JWT，并把用户角色信息挂载到req.user（或者你自定义的字段）上，这是所有角色校验的前提哦～

内容的提问来源于stack exchange，提问作者Mostafa Khattab