如何在ExpressJS的/api路径下排除PassportJS JWT保护的/login资源？

这问题我之前开发Express API时也碰到过，核心问题就是你现在把整个/api路径都套上了JWT认证中间件，导致所有/api下的端点都会被拦截。这里有几个实用的解决方案，你可以根据自己的项目情况选：

方案1：调整路由挂载顺序，先注册不受保护的端点 #

把不需要认证的/api/login先挂载到/api路径下，再给剩下的受保护路由套上JWT中间件：

const express = require('express');
const router = express.Router();
const protectedRouter = express.Router();

// 先注册不受保护的/login路由
router.post('/login', (req, res) => {
  // 生成JWT令牌的逻辑
  res.json({ token: 'your-generated-jwt' });
});
app.use('/api', router);

// 定义受保护的路由
protectedRouter.get('/profile', (req, res) => {
  res.json({ user: req.user });
});
protectedRouter.post('/data', (req, res) => {
  res.json({ message: '受保护的数据' });
});

// 给受保护路由套上JWT认证，再挂载到/api
app.use('/api', passport.authenticate('jwt', { session: false }), protectedRouter);

这种方式相当于把/api路径拆成了两部分：先处理不受保护的/login，再处理需要认证的其他端点。

方案2：给单个路由单独添加认证中间件（推荐） #

不用给整个/api加认证，而是只给需要保护的路由单独挂载JWT中间件，更清晰直观：

const router = express.Router();

// 不受保护的/login直接定义，不加认证中间件
router.post('/login', (req, res) => {
  res.json({ token: 'your-generated-jwt' });
});

// 受保护的路由单独添加passport认证
router.get('/profile', passport.authenticate('jwt', { session: false }), (req, res) => {
  res.json({ user: req.user });
});

router.put('/settings', passport.authenticate('jwt', { session: false }), (req, res) => {
  res.json({ message: '设置更新成功' });
});

// 最后把整个路由挂载到/api
app.use('/api', router);

这个方案的优势是每个路由的权限状态一目了然，后期维护起来也方便，想加/减受保护路由直接调整中间件即可。

方案3：用自定义中间件跳过指定路径的认证 #

如果不想拆分路由，可以写一个中间件，判断请求路径是否是/login，是的话就跳过认证：

const jwtAuthMiddleware = (req, res, next) => {
  // 检查当前请求路径是否是/api/login
  if (req.path === '/api/login') {
    return next(); // 直接跳过认证
  }
  // 其他路径应用JWT认证
  passport.authenticate('jwt', { session: false })(req, res, next);
};

// 把自定义中间件挂载到/api
app.use('/api', jwtAuthMiddleware);

// 挂载所有路由（包括login）
app.use('/api', router);

这种方式适合快速调整，但如果后续有多个不受保护的端点，需要不断修改判断条件，不如前两种方案灵活。

内容的提问来源于stack exchange，提问作者Amanuel Nega