中间件无法根据角色保护路由。

可以使用基于角色的身份验证中间件来保护通过路由的请求。以下是一个使用基于角色的身份验证中间件的示例：

首先，在路由定义之前定义中间件：

function authRole(role){
  return (req, res, next) => {
    if (req.user.role !== role) {
      return res.status(401).send('Access Denied')
    }
    next()
  }
}

接下来，在需要保护的路由中使用此中间件：

app.get('/admin', authRole('admin'), (req, res) => {
  res.send('Welcome Admin')
});

在上面的示例中，authRole中间件返回一个新函数，该函数使用请求对象中的用户角色进行身份验证。如果用户角色与指定的角色不匹配，中间件将返回“Access Denied”错误。如果用户角色与指定的角色匹配，则继续向后传递。

这将确保只有角色为“admin”的用户可以访问“/admin”路由。因此，我们可以根据不同的角色来保护不同的路由。