Express服务器上PDF文件的未授权访问限制问题

看起来你遇到的问题是中间件执行顺序导致的，我来帮你理清楚原因和解决办法：

问题根源 #

Express的中间件是按代码中定义的顺序依次执行的。如果你的代码里先挂载了express.static静态文件中间件，那么当请求/content/assets/sample.pdf时，静态中间件会直接找到对应的文件并返回响应，根本不会走到你后面定义的认证路由。这就是为什么你能限制/content/assets/（目录请求通常不会被静态中间件直接处理，会继续往后匹配路由），但限制不了具体PDF文件的核心原因。

解决方案 #

这里有两种可靠的解决方式，你可以根据自己的代码结构选择：

方案一：调整中间件顺序，让认证路由优先执行

把你的认证路由代码放在express.static静态中间件之前，这样所有指向/content/assets/*的请求都会先经过认证逻辑，再处理文件返回：

const express = require('express');
const path = require('path');
const app = express();

// 1. 先定义认证路由，优先处理/content/assets下的所有请求
app.use('/content/assets/*', isAuthenticated, (req, res) => {
  const filePath = path.join(__dirname, '../../static', req.path);
  console.log(filePath);
  res.sendFile(filePath);
});

// 2. 再挂载静态文件中间件，处理其他无需认证的静态资源
app.use(express.static(path.join(__dirname, '../../static')));

// 认证函数
function isAuthenticated(req, res, next) {
  // 这里替换成你真实的认证逻辑，比如检查token、session等
  const userIsAuthenticated = true;
  
  if (userIsAuthenticated) {
    next();
  } else {
    res.status(403).send('Unauthorized');
  }
}

方案二：给静态文件中间件直接绑定认证逻辑

如果你不想拆分路由，也可以直接在/content/assets路径的静态服务上挂载认证中间件，这样访问该路径下的所有资源都会先经过认证：

const express = require('express');
const path = require('path');
const app = express();

// 直接给/content/assets的静态服务加上认证拦截
app.use('/content/assets', isAuthenticated, express.static(path.join(__dirname, '../../static/content/assets')));

// 其他无需认证的静态资源服务
app.use(express.static(path.join(__dirname, '../../static')));

// 认证函数
function isAuthenticated(req, res, next) {
  const userIsAuthenticated = true;
  
  if (userIsAuthenticated) {
    next();
  } else {
    res.status(403).send('Unauthorized');
  }
}

额外提醒 #

• 记得把isAuthenticated函数里的userIsAuthenticated = true替换成真实的认证逻辑（比如解析请求头的token、校验session中的用户状态），测试时可以临时改成false验证拦截效果。
• 如果你的项目里用了Router实例，要确保Router的挂载顺序也遵循“认证优先于静态服务”的规则。

备注：内容来源于stack exchange，提问作者Nikhil