在LoopBack中使用自定义中间件实现用户授权的技术咨询

看起来你已经在搭建LoopBack的用户授权中间件了，我来帮你完善这个VerifyUserAccess中间件的实现，同时拆解关键逻辑和注意事项：

完整的中间件代码实现 #

module.exports = function(options) {
  return function verifyUserAccess(req, res, next) {
    // 无访问令牌时：根据业务需求选择放行或直接拒绝
    if (!req.accessToken) {
      // 若要求所有接口必须带令牌，可替换为 return res.sendStatus(401);
      return next();
    }

    // 通过req.app获取LoopBack应用实例，避免全局app引用的问题
    const UserModel = req.app.models.UserModel;

    UserModel.findById(req.accessToken.userId, function(err, user) {
      // 处理数据库查询错误
      if (err) {
        return next(err);
      }
      // 令牌对应的用户不存在时抛出错误
      if (!user) {
        return next(new Error('No user with this access token was found.'));
      }

      const LoopBackContext = require('loopback-context');
      const loopbackContext = LoopBackContext.getCurrentContext();
      
      // 将用户信息存入请求上下文，方便后续逻辑调用
      if (loopbackContext) {
        loopbackContext.set('currentUser', user);
      }

      // 放行请求
      next();
    });
  };
};

关键逻辑拆解 #

• 访问令牌校验：先检查请求中是否携带accessToken，这里留了灵活度——如果是公开接口可以直接放行，若需要强制鉴权则返回401未授权。
• 用户信息查询：通过令牌中的userId关联查询用户模型，确保令牌对应真实存在的用户，同时处理查询过程中的异常。
• 上下文存储用户：借助LoopBackContext把当前用户存入请求上下文，后续在模型钩子、远程方法里可以通过LoopBackContext.getCurrentContext().get('currentUser')快速获取用户信息，不用重复查询。

必做的配置步骤 #

1. 启用LoopBack Context中间件：在server/middleware.json中添加per-request上下文支持，确保每个请求都有独立的上下文：

{
  "initial": {
    "loopback-context#per-request": {}
  }
}

2. 注册自定义授权中间件：同样在server/middleware.json中添加你的中间件，建议放在auth阶段（在路由匹配之后执行）：

{
  "auth": {
    "./middleware/verify-user-access": {}
  }
}

扩展建议 #

如果需要更细粒度的权限控制，比如基于角色或接口权限，可以在这个中间件里继续扩展：

• 查询用户关联的角色/权限数据
• 对比当前请求的路由/方法是否在用户权限范围内
• 不满足条件时直接返回403禁止访问错误

内容的提问来源于stack exchange，提问作者Naimish Kher