Express.js 中如何管理用户权限

在 web 应用程序中，用户权限管理是非常重要的一环。根据不同的用户角色和权限，应用程序可以控制用户能够访问哪些页面和执行哪些操作。Express.js 是一个流行的 Node.js web 框架，提供了许多功能强大的中间件和库，可以轻松地实现用户权限管理。

本文将介绍 Express.js 中如何管理用户权限，包括如何定义用户角色和权限，如何验证用户权限，以及如何在路由中使用权限控制。我们将使用一个示例应用程序来演示这些概念。

定义用户角色和权限

在 Express.js 中，我们可以通过定义用户角色和权限来管理用户访问控制。用户角色通常表示用户在应用程序中的角色，例如管理员、普通用户、游客等。权限表示用户能够执行的操作，例如读取、写入、删除等。

我们可以使用一个简单的 JSON 对象来定义用户角色和权限。例如，以下是一个包含管理员和普通用户角色以及它们的权限的 JSON 对象：

const roles = {
  admin: {
    can: ['read', 'write', 'delete']
  },
  user: {
    can: ['read']
  }
};

在上面的示例中，管理员角色具有读取、写入和删除权限，而普通用户角色只有读取权限。

验证用户权限

在 Express.js 中，我们可以使用中间件来验证用户是否具有特定的权限。我们可以编写一个名为 checkPermission 的中间件来执行此操作。该中间件将从请求中获取用户角色，并检查用户是否具有所需的权限。如果用户不具备所需的权限，则中断请求并返回 403 状态码。

以下是 checkPermission 中间件的示例代码：

function checkPermission(req, res, next) {
  const { role } = req.user;
  const { permission } = req.params;
  
  if (roles[role].can.includes(permission)) {
    next();
  } else {
    res.sendStatus(403);
  }
}

在上面的示例中，我们首先从请求中获取用户角色和所需的权限。然后，我们检查用户角色是否具有所需的权限。如果用户具有所需的权限，则调用 next() 继续请求处理流程。否则，我们返回 403 状态码，表示拒绝访问。

在路由中使用权限控制

现在我们可以在路由中使用 checkPermission 中间件来实现权限控制。我们可以通过在路由路径中添加权限参数来指定所需的权限。例如，以下路由将仅允许管理员用户删除文章：

app.delete('/articles/:id', checkPermission('delete'), (req, res) => {
  // 删除文章
});

在上面的示例中，我们将 checkPermission 中间件传递给路由处理程序。该中间件将检查用户是否具有删除文章的权限。如果用户具有所需的权限，则请求将继续到路由处理程序，否则将返回 403 状态码。

总结

在本文中，我们介绍了 Express.js 中如何管理用户权限。我们学习了如何定义用户角色和权限，如何验证用户权限，以及如何在路由中使用权限控制。我们还演示了一个示例应用程序，以帮助读者更好地理解这些概念。希望本文对读者在实现 web 应用程序中的用户权限管理方面有所帮助。

来源：JavaScript中文网 ，转载请注明来源 本文地址：https://www.javascriptcn.com/post/658f0973eb4cecbf2d4c5161