如何保护网站中存储MongoDB数据的私有报价表单路由？

1. 账号密码身份验证 #

• 给商家创建专属登录账号，在/serviceQuotes路由前添加登录校验逻辑，常用两种实现方式：
  • 会话验证：商家登录后，服务器生成Session存储到数据库，后续请求携带Session ID，校验通过才允许访问路由。
  • JWT令牌验证：商家登录后返回Token，之后每次请求在请求头里带Authorization: Bearer <token>，后端验证Token的有效性和权限。
• 举个Node.js + Express的代码例子：

  // 商家登录接口，生成JWT
  app.post('/merchant/login', (req, res) => {
    const { username, password } = req.body;
    // 从数据库查询商家信息，校验账号密码
    if (username === '商家用户名' && password === '商家密码') {
      const token = jwt.sign({ userId: '商家ID', role: 'merchant' }, '你的密钥', { expiresIn: '24h' });
      res.json({ token });
    } else {
      res.status(401).json({ message: '账号或密码错误' });
    }
  });
  
  // 权限校验中间件
  const checkMerchantAuth = (req, res, next) => {
    const token = req.headers.authorization?.split(' ')[1];
    if (!token) return res.status(401).json({ message: '未授权访问' });
    try {
      const decoded = jwt.verify(token, '你的密钥');
      if (decoded.role !== 'merchant') throw new Error();
      req.merchantInfo = decoded;
      next();
    } catch (err) {
      res.status(403).json({ message: '权限不足' });
    }
  };
  
  // 受保护的报价路由
  app.get('/serviceQuotes', checkMerchantAuth, (req, res) => {
    // 从MongoDB查询并返回报价数据
    ServiceQuote.find().then(quotes => res.json(quotes));
  });
  

2. IP地址白名单限制 #

• 只允许商家的固定IP访问/serviceQuotes路由，后端加IP校验逻辑：
  • 获取请求的客户端IP，和预先配置的商家IP列表比对，匹配成功才放行。
  • 代码示例：

  const allowedIPs = ['192.168.1.100', '203.0.113.5']; // 商家的固定IP
  
  app.get('/serviceQuotes', (req, res) => {
    const clientIP = req.ip || req.connection.remoteAddress;
    if (!allowedIPs.includes(clientIP)) {
      return res.status(403).json({ message: '禁止访问' });
    }
    // 返回报价数据
    ServiceQuote.find().then(quotes => res.json(quotes));
  });
  

• 注意：如果商家用动态IP，这种方式不适用，得搭配其他验证方法。

3. 隐藏路由+访问密钥 #

• 把/serviceQuotes改成更隐蔽的路径（比如/tree-service-admin-quote-list），同时要求请求带指定的密钥参数：
  • 商家访问时要加密钥，比如/tree-service-admin-quote-list?key=你的专属密钥，后端校验密钥正确才返回数据。
  • 代码示例：

  const secretAccessKey = '你的唯一密钥';
  
  app.get('/tree-service-admin-quote-list', (req, res) => {
    const providedKey = req.query.key;
    if (providedKey !== secretAccessKey) {
      return res.status(404).send('页面不存在');
    }
    // 返回报价数据
    ServiceQuote.find().then(quotes => res.json(quotes));
  });
  

• 这种方式简单，但密钥要妥善保管，别泄露出去。

4. 多重验证组合 #

• 想更安全的话，可以把身份验证和IP白名单、或者身份验证和访问密钥结合起来，多重校验确保只有商家能访问。

内容的提问来源于stack exchange，提问作者Crystal Figueroa