Laravel令牌中间件实现方式是否正确？自定义API鉴权咨询

没问题，这其实是个很常见的轻量级API鉴权场景，完全可以通过自定义中间件来实现，不用依赖Passport这类重型库。我给你梳理下具体的实现思路和代码示例：

• 先从请求头里提取client和token两个参数
• 先做快速校验：确认client的值是指定的android，直接拦截不符合的请求
• 拿着token去数据库匹配对应的记录，验证令牌有效性
• 校验通过就放行到后续路由/业务逻辑，不通过则返回403权限错误

假设你用的是Express框架，下面是一个完整的自定义中间件实现：

const express = require('express');
const app = express();
// 替换成你实际的数据库模型（对应存储令牌的表）
const TokenModel = require('./models/TokenModel');

// 自定义Android客户端鉴权中间件
const validateAndroidToken = async (req, res, next) => {
  try {
    // 1. 从请求头获取鉴权参数
    const client = req.headers['client'];
    const token = req.headers['token'];

    // 2. 校验客户端标识合法性
    if (!client || client.toLowerCase() !== 'android') {
      return res.status(403).json({ message: '非法客户端标识' });
    }

    // 3. 校验令牌是否存在
    if (!token) {
      return res.status(403).json({ message: '令牌不能为空' });
    }

    // 4. 数据库匹配令牌
    const validToken = await TokenModel.findOne({ where: { token: token } });
    if (!validToken) {
      return res.status(403).json({ message: '无效或已过期的令牌' });
    }

    // 5. 鉴权通过，放行到下一个环节
    next();
  } catch (error) {
    console.error('鉴权中间件异常:', error);
    return res.status(500).json({ message: '服务器内部错误' });
  }
};

// 给需要保护的API路由绑定中间件
app.use('/api/protected', validateAndroidToken);

// 示例受保护路由
app.get('/api/protected/user-info', (req, res) => {
  res.json({ data: '这是仅安卓客户端可访问的受保护数据' });
});

app.listen(3000, () => {
  console.log('服务器运行在3000端口');
});

• 给令牌表加个expires_at字段，查询时同时校验令牌是否过期，安全性更高
• 给令牌字段加数据库索引，提升查询效率
• 可以搭配请求频率限制中间件（比如express-rate-limit），防止暴力破解令牌
• 把android这个客户端标识放到环境变量里，方便后续扩展其他客户端类型

内容的提问来源于stack exchange，提问作者Code Lover