Loopback框架下验证用户更换的新邮箱地址方法咨询

我之前也遇到过类似的需求，Loopback默认的Member.verify方法确实只支持验证主邮箱，要实现新邮箱的验证流程，我们可以通过扩展User模型、添加自定义验证逻辑来解决，具体步骤如下：

步骤1：扩展User模型，添加新邮箱相关字段 #

首先需要在User模型中添加存储新邮箱、验证token和过期时间的字段，打开你的User模型定义文件（比如common/models/user.json），添加以下属性：

{
  "name": "User",
  "properties": {
    // 保留原有字段...
    "newEmail": {
      "type": "string",
      "required": false,
      "email": true,
      "description": "待验证的新邮箱地址"
    },
    "newEmailVerificationToken": {
      "type": "string",
      "required": false,
      "description": "新邮箱验证的随机token"
    },
    "newEmailVerificationExpires": {
      "type": "date",
      "required": false,
      "description": "新邮箱验证token的过期时间"
    }
  }
}

步骤2：实现新邮箱验证请求的方法 #

接下来需要创建一个远程方法，用于接收用户提交的新邮箱，生成验证token并发送验证邮件。在User模型的JS文件（比如common/models/user.js）中添加以下代码：

const crypto = require('crypto');

// 注册远程方法：请求新邮箱验证
User.remoteMethod('requestNewEmailVerification', {
  accepts: [
    { arg: 'id', type: 'string', required: true, description: '用户ID' },
    { arg: 'newEmail', type: 'string', required: true, description: '待更换的新邮箱' }
  ],
  returns: { arg: 'result', type: 'object', root: true },
  http: { path: '/request-new-email-verification', verb: 'post' },
  description: '提交新邮箱，生成验证token并发送验证邮件'
});

User.requestNewEmailVerification = async function(id, newEmail) {
  // 查找用户
  const user = await User.findById(id);
  if (!user) {
    throw new Error('用户不存在');
  }

  // 生成随机验证token（20字节的十六进制字符串）
  const verificationToken = crypto.randomBytes(20).toString('hex');
  // 设置token过期时间（比如24小时后）
  const expiresAt = new Date();
  expiresAt.setHours(expiresAt.getHours() + 24);

  // 更新用户的新邮箱和验证信息
  user.newEmail = newEmail;
  user.newEmailVerificationToken = verificationToken;
  user.newEmailVerificationExpires = expiresAt;
  await user.save();

  // 这里添加发送验证邮件的逻辑，示例链接格式：
  // const verificationUrl = `https://your-app-domain.com/api/users/verify-new-email?id=${id}&token=${verificationToken}`;
  // 调用你的邮件服务发送包含verificationUrl的邮件到newEmail

  return {
    message: '验证邮件已发送至新邮箱，请在24小时内完成验证',
    newEmail: newEmail
  };
};

步骤3：实现自定义的新邮箱验证方法 #

最后创建一个远程方法，用于处理用户点击验证链接后的逻辑，验证token有效性并完成邮箱更换：

// 注册远程方法：验证新邮箱
User.remoteMethod('verifyNewEmail', {
  accepts: [
    { arg: 'id', type: 'string', required: true, description: '用户ID' },
    { arg: 'token', type: 'string', required: true, description: '验证token' }
  ],
  returns: { arg: 'user', type: 'object', root: true },
  http: { path: '/verify-new-email', verb: 'get' },
  description: '验证新邮箱的token，完成邮箱更换'
});

User.verifyNewEmail = async function(id, token) {
  // 查找用户
  const user = await User.findById(id);
  if (!user) {
    throw new Error('用户不存在');
  }

  // 检查新邮箱、验证token是否存在，以及token是否过期
  if (!user.newEmail || !user.newEmailVerificationToken || user.newEmailVerificationExpires < new Date()) {
    throw new Error('验证链接无效或已过期');
  }

  // 验证token是否匹配
  if (user.newEmailVerificationToken !== token) {
    throw new Error('验证token不正确');
  }

  // 验证通过，更新主邮箱并清空新邮箱相关字段
  user.email = user.newEmail;
  user.newEmail = null;
  user.newEmailVerificationToken = null;
  user.newEmailVerificationExpires = null;
  await user.save();

  return {
    message: '邮箱更换成功',
    user: { id: user.id, email: user.email }
  };
};

额外注意事项 #

• 错误处理优化：建议使用Loopback内置的错误类（比如ValidationError、NotFoundError）替代普通Error，这样框架会自动返回对应的HTTP状态码（比如400、404）。
• 安全性：生成token时可以使用更安全的算法，或者结合用户的ID、邮箱等信息进行哈希，防止token被伪造。
• 邮件发送：确保发送验证邮件使用HTTPS链接，避免token被窃取。

内容的提问来源于stack exchange，提问作者Tony Hensler