Node.js+Express+Multer文件上传后，如何保护静态文件仅登录用户可访问？

我来帮你搞定这个问题——要保护静态目录里的文件不被未登录用户访问，核心思路就是不要直接用express.static暴露整个目录，而是通过自定义路由+登录验证中间件来控制访问权限。下面是具体的实现步骤和代码示例：

1. 移除直接暴露静态目录的代码 #

首先，你得把原来直接用express.static挂载/files的代码删掉，比如：

// 删掉这行！它会让所有用户无限制访问文件
app.use('/files', express.static(path.join(__dirname, 'files')));

这行代码是问题的根源——它完全跳过了权限验证，任何人都能通过URL直接访问文件。

2. 编写登录验证中间件 #

先写一个通用的中间件，用来检查用户是否已登录。这里分两种常见场景：

场景一：用Session管理登录状态（比如express-session） #

如果你的项目用Session存储登录信息，中间件可以这样写：

const isAuthenticated = (req, res, next) => {
  // 假设你的Session里用req.session.user存储登录用户信息
  if (req.session && req.session.user) {
    return next(); // 已登录，继续处理请求
  }
  // 未登录，返回403禁止访问
  res.status(403).send('请先登录才能访问该文件');
};

场景二：用JWT Token做登录验证（前后端分离项目常用） #

如果是前后端分离架构，用JWT的话，中间件可以这样写：

const jwt = require('jsonwebtoken');
const isAuthenticated = (req, res, next) => {
  // 从请求头获取Token（格式：Authorization: Bearer <token>）
  const authHeader = req.headers.authorization;
  if (!authHeader || !authHeader.startsWith('Bearer ')) {
    return res.status(403).send('请先登录才能访问该文件');
  }
  const token = authHeader.split(' ')[1];
  try {
    // 验证Token，替换成你的JWT密钥
    const decoded = jwt.verify(token, 'your_jwt_secret_key');
    req.user = decoded; // 把用户信息挂载到req上，方便后续使用
    next();
  } catch (err) {
    res.status(403).send('无效的登录凭证');
  }
};

3. 创建受保护的文件访问路由 #

接下来，创建一个路由来处理所有/files开头的请求，先通过登录验证，再返回文件：

const path = require('path');
const fs = require('fs').promises;

app.get('/files/*', isAuthenticated, async (req, res) => {
  // 获取请求的文件路径，req.params[0]就是*匹配到的部分（比如documents/hv.pdf）
  const filePath = path.join(__dirname, 'files', req.params[0]);
  
  // 安全检查：防止路径遍历攻击（比如用户输入../../etc/passwd）
  const allowedDir = path.resolve(__dirname, 'files');
  if (!filePath.startsWith(allowedDir)) {
    return res.status(403).send('无权访问该文件');
  }

  try {
    // 检查文件是否存在
    await fs.access(filePath);
    // 设置响应头：控制浏览器是预览还是下载文件
    // 想让浏览器预览就用inline，想强制下载就用attachment
    res.setHeader('Content-Disposition', `inline; filename="${path.basename(filePath)}"`);
    res.sendFile(filePath);
  } catch (err) {
    // 文件不存在，返回404
    res.status(404).send('文件不存在');
  }
});

4. 额外优化：限制浏览器缓存与历史记录 #

如果不想让浏览器缓存文件或保留访问历史，可以在返回文件前添加这些响应头：

// 在res.sendFile之前添加
res.setHeader('Cache-Control', 'no-store, no-cache, must-revalidate, proxy-revalidate');
res.setHeader('Pragma', 'no-cache');
res.setHeader('Expires', '0');

这样即使用户在历史记录里找到URL，再次访问时也会因为未登录被拦截，且浏览器不会缓存文件副本。

5. 测试验证 #

• 未登录状态下直接访问/files/documents/hv.pdf，应该返回403禁止访问。
• 登录后访问，应该能正常预览或下载文件。
• 尝试输入类似/files/../../etc/passwd的恶意路径，会被拦截返回403，避免安全风险。

这样就能完美实现只有登录用户才能访问静态目录里的文件啦！

内容的提问来源于stack exchange，提问作者Thaylor Mosquera Castro