Koa-router路由命中前解析参数及RBAC权限前置拦截问题

嘿，这个问题我熟！你现在的核心需求是在请求进入业务逻辑（比如插入数据）之前就把无权限的请求拦下来，其实根本不用依赖Sequelize事务——事务是用来保证数据操作原子性的，而权限校验属于请求准入的前置拦截，用Koa的中间件来做才是最直接高效的方案。

下面给你一套具体的实现思路和代码示例：

Koa的中间件是洋葱模型，刚好可以在请求到达具体端点处理函数之前，先执行权限校验逻辑，一旦校验不通过就直接终止请求链，完全不会触发后续的业务代码（比如插入、更新数据的操作）。

1. 编写RBAC权限校验中间件 #

先写一个通用的权限校验中间件，从请求中提取用户角色，再匹配数据库中的权限规则：

// middleware/rbac.js
const { RolePermission } = require('../models'); // 假设你已经定义了角色-权限关联的Sequelize模型

async function checkPermission(ctx, next) {
  // 第一步：获取当前登录用户的角色信息
  // 这里假设你已经通过登录验证中间件（比如JWT解析）把用户数据存在了ctx.state.user里
  const currentUser = ctx.state.user;
  if (!currentUser) {
    ctx.status = 401;
    ctx.body = { message: '请先登录系统' };
    return; // 终止中间件链，不继续执行后续逻辑
  }

  // 第二步：识别当前请求需要的权限
  // 你可以用「请求路径+请求方法」作为权限标识，或者给每个接口定义专属的权限码（比如'user:create'）
  const requiredPermission = {
    path: ctx.path,
    method: ctx.method
  };

  // 第三步：查询数据库，验证当前用户角色是否拥有该权限
  // 这里根据你的RBAC表结构调整查询逻辑，比如角色表和权限表是多对多关联
  const hasPermission = await RolePermission.findOne({
    where: {
      roleId: currentUser.roleId,
      path: requiredPermission.path,
      method: requiredPermission.method
    }
  });

  if (!hasPermission) {
    ctx.status = 403;
    ctx.body = { message: '抱歉，你没有权限执行此操作' };
    return; // 权限不通过，直接返回，后续业务代码不会执行
  }

  // 权限校验通过，继续执行下一个中间件/端点处理函数
  await next();
}

module.exports = checkPermission;

2. 给路由挂载权限校验中间件 #

你可以选择全局挂载（所有路由都走校验），或者针对特定路由挂载（比如公开接口跳过校验）：

方式一：全局挂载（所有路由生效） #

在Koa实例中挂载中间件：

// app.js
const Koa = require('koa');
const checkPermission = require('./middleware/rbac');
const userRouter = require('./routes/user');

const app = new Koa();

// 先挂载权限校验中间件，再挂载路由
app.use(checkPermission);
app.use(userRouter.routes()).use(userRouter.allowedMethods());

app.listen(3000);

方式二：针对特定路由挂载 #

比如只给用户管理相关的路由加校验：

// routes/user.js
const Router = require('koa-router');
const router = new Router({ prefix: '/user' });
const checkPermission = require('../middleware/rbac');
const userController = require('../controllers/user');

// 给当前路由下的所有接口挂载权限校验
router.use(checkPermission);

// 具体的业务接口，只有权限通过才会执行userController.create
router.post('/', userController.create);
router.get('/', userController.list);

module.exports = router;

3. 关于Sequelize事务的补充 #

事务的作用是保证多个数据操作的原子性（比如创建用户同时插入关联数据，要么全成功要么全失败），但它不适合用来做权限拦截——因为如果权限不通过，你根本没必要开启事务，这会浪费数据库资源。

正确的执行顺序应该是：
权限校验中间件 → 校验通过 → 业务逻辑中开启事务处理数据

举个业务逻辑里用事务的例子：

// controllers/user.js
const { User, sequelize } = require('../models');

async function create(ctx) {
  // 权限校验已经通过，现在处理业务逻辑
  const transaction = await sequelize.transaction();
  try {
    // 创建用户
    const newUser = await User.create(ctx.request.body, { transaction });
    // 其他需要在事务中执行的操作（比如给用户分配默认角色）
    // await UserRole.create({ userId: newUser.id, roleId: 1 }, { transaction });
    
    await transaction.commit();
    ctx.body = { message: '用户创建成功', data: newUser };
  } catch (error) {
    await transaction.rollback();
    ctx.status = 500;
    ctx.body = { message: '用户创建失败', error: error.message };
  }
}

用Koa中间件做前置权限校验，能在请求进入业务逻辑的最早期就拦截无权限请求，完全避免了不必要的数据操作。事务只用来处理业务逻辑中的数据一致性问题，两者分工明确，才是合理的架构设计。

内容的提问来源于stack exchange，提问作者Nict