使用 Node.js 和 Express 实现基于角色的权限控制

AI 编程助手，豆包旗下的编程助手，提供智能补全、智能预测、智能问答等能力，节省开发时间，释放脑海中的创造力，支持 VSCode，点击体验 AI

在现代 Web 应用程序中，用户身份验证和权限控制是必不可少的功能。基于角色的权限控制（RBAC）是一种常见的方法，它允许定义不同角色的操作权限。这种方法非常适用于中小型 Web 应用程序，因为它易于实现和维护。

在本篇文章中，我们将介绍如何使用 Node.js 和 Express 框架来实现基于角色的权限控制。我们将通过一个示例应用程序来演示如何定义角色和操作权限，并在应用程序中验证和控制这些权限。

示例应用程序需求

在我们的示例应用程序中，我们将建立一个在线商店。应用程序有以下几个需求：

  • 有两种用户类型：管理员和普通用户；
  • 管理员可以添加、编辑和删除商店中的产品；
  • 普通用户可以查看商店中的所有产品。

在这个示例中，我们将为两种用户类型定义角色，以便可以限制它们的行为。

实现基于角色的权限控制

要使用 Node.js 和 Express 实现基于角色的权限控制，我们可以使用中间件（Middleware）和路由（Routes）。我们可以使用中间件来验证用户的身份和权限，然后使用路由来处理请求。

角色定义

首先，我们需要定义两个角色：管理员和普通用户。在我们的示例应用程序中，管理员具有添加、编辑和删除产品的权限，而普通用户只能查看产品。

我们可以使用一个 JavaScript 对象来表示这些角色和它们的操作：

----- ----- - -
  ------ -
    ----------- -----
    ------------ -----
    -------------- -----
    ------------ -----
  --
  ----- -
    ----------- ------
    ------------ ------
    -------------- ------
    ------------ -----
  --
--

用户身份验证

在权限控制之前，我们需要验证用户的身份。我们可以使用 Passport.js 中间件来实现身份验证。这里我们采用本地策略（Local Strategy），我们使用用户名和密码进行身份验证。

----- -------- - --------------------
----- ------------- - -----------------------------------

-------------
  --- ------------------------ --------- ----- -- -
    -- ----
    -------------- --------- -------- -- ----- ----- -- -
      -- ----- ------ ----------
      -- ------- ------ ---------- -------
      -- ----
      ----------------------------- ----- -------- -- -
        -- ----- ------ ----------
        -- ---------- ------ ---------- -------
        ------ ---------- ------
      ---
    ---
  --
--

权限验证

我们现在已经验证了用户的身份。接下来，我们需要检查用户是否具有相应的操作权限。我们将使用一个名为checkPermission的中间件来实现这一点。

----- --------------- - ----------- -- -
  ------ ----- ---- ----- -- -
    -- ---------
    -- ------------------------ -
      ------ -------------------------------------
    -
    -- -------------
    ----- -------- - --------------
    ----- ---------- - ---------------------------
    -- ------------- -
      ------ ----------------------------------
    -
    -------
  --
--

中间件接受一个操作参数（如addProduct），并返回一个路由处理程序。该处理程序会检查用户是否已验证，并且是否具有所需的权限。如果未符合要求，则返回适当的 HTTP 状态代码（401：未授权，403：禁止访问）。

路由定义

我们现在已经定义了角色和身份验证和权限中间件。接下来，我们可以定义路由来处理请求。对于管理员用户，我们可以定义以下路由：

-- ----
---------
  -----------------
  ------------------------------
  ----- ---- -- -
    -- --------
    ----------------------------- --------
  -
--

-- ----
--------
  ---------------------
  -------------------------------
  ----- ---- -- -
    -- --------
    ----------------------------- ---------
  -
--

-- ----
-----------
  ---------------------
  ---------------------------------
  ----- ---- -- -
    -- --------
    ----------------------------- ----------
  -
--

对于普通用户，我们可以定义以下路由：

-- ------
-------------------- ------------------------------- ----- ---- -- -
  -- ------
  ----------------------------- -------
---

这些路由将使用checkPermission中间件来检查用户的权限。如果用户具有所需的权限，则路由处理程序将被调用。

完整的示例代码

下面是一个完整的示例代码，其中包括身份验证、权限中间件和路由的定义。

----- ------- - -------------------
----- ---------- - -----------------------
----- -------- - --------------------
----- ------------- - -----------------------------------

----- --- - ----------
---------------------------
------------------------------- --------- ---- ----
-------------------------------

-- ----
----- ----- - -
  ------ -
    ----------- -----
    ------------ -----
    -------------- -----
    ------------ -----
  --
  ----- -
    ----------- ------
    ------------ ------
    -------------- ------
    ------------ -----
  --
--

-- ----
----- ----- - -
  -
    --- --
    --------- --------
    --------- ---------
    ----- --------
  --
  -
    --- --
    --------- -------
    --------- ---------
    ----- -------
  --
--

-- ----
----- ------------------ - ---------- -- -
  ------ ----------------- -- ------------- --- ----------
--

-- ----
----- -------------- - ---------- ----- -- -
  ------ -------- --- ----- -- --------------
--

-- ----
-------------
  --- ------------------------ --------- ----- -- -
    ----- ---- - -----------------------------
    -- ------- ------ ---------- -------
    ----- ------- - ------------------------ ---------------
    -- ---------- ------ ---------- -------
    ---------- ------
  --
--

-- ----
----- --------------- - ----------- -- -
  ------ ----- ---- ----- -- -
    -- ------------------------ -
      ------ -------------------------------------
    -
    ----- -------- - --------------
    ----- ---------- - ---------------------------
    -- ------------- -
      ------ ----------------------------------
    -
    -------
  --
--

---------
  -----------------
  ------------------------------
  ----- ---- -- -
    -- --------
    ----------------------------- --------
  -
--

--------
  ---------------------
  -------------------------------
  ----- ---- -- -
    -- --------
    ----------------------------- ---------
  -
--

-----------
  ---------------------
  ---------------------------------
  ----- ---- -- -
    -- --------
    ----------------------------- ----------
  -
--

-------------------- ------------------------------- ----- ---- -- -
  -- ------
  ----------------------------- -------
---

---------------- -- -- -
  ------------------- ----------
---

结论

基于角色的权限控制是实现现代 Web 应用程序中必不可少的一部分。使用 Node.js 和 Express 框架时，可以使用中间件和路由来实现权限控制。本文演示了如何在示例应用程序中使用角色定义、身份验证和权限控制来实现基于角色的权限控制。

来源：JavaScript中文网 ，转载请联系管理员！ 本文地址：https://www.javascriptcn.com/post/671d8e4d9babaf620fb6e6a6

阅读全文

猜你喜欢

  • Node.js 中使用 Webpack 打包前端代码的方法和优化技巧

    前端开发中经常需要使用工具进行代码打包，其中 Webpack 是目前较为常用的打包工具之一。本文将介绍在 Node.js 环境中如何使用 Webpack 打包前端代码，以及一些优化技巧。

    14 天前
  • 使用 Fastify 自定义错误处理函数

    介绍 Fastify 是一个非常快速的 Web 框架，它提供了一个简单而强大的路由系统。在一些使用场景下，错误信息对于开发者来说非常重要。Fastify 允许我们自定义错误信息，从而更容易地调试和排除...

    14 天前
  • 如何在 Serverless 框架中使用 CodeCommit 进行代码版本管理

    在 Serverless 架构中，代码版本管理非常重要。Version Control System（VCS）能够帮助我们记录每次代码的修改以及其作者和修改时间，同时可以很好地协同开发并保留历史版本，...

    14 天前
  • 解决 Jest 遇到的 "Jest encountered an unexpected token" 错误

    在使用 Jest 对 JavaScript 代码进行测试时，有时会遇到错误信息："Jest encountered an unexpected token"。这种错误会让我们的测试无法正常运行，导致我...

    14 天前
  • Hapi.js 的使用方法总结（二）

    在上一篇文章中，我们介绍了 Hapi.js 的一些基础知识和使用方法。在本篇文章中，我们将更深入地探究 Hapi.js 的用法。我们将主要讨论以下三个方面： 路径参数 认证和授权 插件和中间件 路...

    14 天前
  • 使用 Node.js 和 Express 构建 RESTful API：配置和调试

    在Web开发中，API是一种用于不同应用程序之间交换数据的技术。使用API，可以使不同的应用程序之间进行通信并共享数据，从而实现更强大、更灵活的应用程序。 RESTful API是目前比较流行的一种A...

    14 天前
  • Koa 框架中间件开发详解及实践分享

    前言 如今，随着互联网技术的不断发展和进步，前端 web 开发也变得日益重要。而在这个领域中，Koa 框架无疑是一个非常流行的技术。Koa 框架是一个轻量级的 Node.js web 框架，它基于 E...

    14 天前
  • 为什么 Material Design 的颜色更加鲜活、明亮？

    Material Design 是 Google 推出的一种现代化的设计语言，该语言具有鲜活、明亮的颜色风格，深受众多设计师和开发者的喜爱。那么，为什么 Material Design 的颜色更加鲜活...

    14 天前
  • ECMAScript 2018 中 Generator 函数的应用场景与实例演示

    前言 Generator 函数作为 ECMAScript 2018 的新特性，在 ES6 的基础上进一步增强了 JavaScript 的编程能力。本文将会详细介绍 Generator 函数的应用场景以...

    14 天前
  • 使用 Tailwind CSS 解决响应式设计的问题

    在现代 Web 开发中，响应式设计已经成为必备技能。对于前端开发人员而言，实现网站或应用程序在不同屏幕尺寸之间的平滑过渡是一项重要任务。但是，在大多数情况下，响应式设计需要大量的 CSS 编写，这会导...

    14 天前
  • Headless CMS 的优势与劣势分析

    Headless CMS 是一种新型的内容管理系统，近年来在前端开发领域中越来越流行。与传统 CMS 不同的是，Headless CMS 是一种无头 CMS，它通过提供 API 端点，让前端开发者可以...

    14 天前
  • Redis 在分布式系统中的使用及常见问题及处理方法

    前言 随着分布式系统的兴起和应用场景的不断扩大，分布式系统中数据的管理和处理越来越受到关注。Redis 作为一种高性能的键值存储数据库，已经成为分布式系统数据存储和缓存的重要选择之一。

    14 天前
  • Cypress 中如何模拟 fetch 时返回异常的情况

    在前端开发中，我们经常会使用 fetch 方法来与后端API进行数据交互。在测试前端页面时，我们需要模拟 fetch 方法返回异常的情况，以便测试我们的应用程序在处理错误时的表现。

    14 天前
  • 优化 Elasticsearch 性能的几种方法

    Elasticsearch 是一个基于 Lucene 的分布式搜索引擎，它是现代 Web 应用、日志聚合、企业搜索等领域的重要组成部分。对于任何开发人员来说，优化 Elasticsearch 的性能是...

    14 天前
  • 避免 RxJS 中的内存泄漏问题

    RxJS 是一个流式编程的库，它提供了一系列方便的工具和函数，帮助我们处理异步数据流。它在前端开发中被广泛地应用，但是在使用 RxJS 时也有一些需要注意的问题，比如它与内存泄漏的关系。

    14 天前
  • 如何在 Deno 中优化大批量数据处理

    前言 Deno 是一个安全、现代化的 JavaScript 和 TypeScript 运行时环境。它内置了一些常见的工具，可以使我们尽可能简单、快速地实现我们的各种愿望。

    14 天前
  • 如何利用 ECMAScript 2018 中的 Object.defineProperty 实现双向绑定

    如何利用 ECMAScript 2018 中的 Object.defineProperty 实现双向绑定 随着前端技术的发展，双向绑定成为了开发中的一项重要功能需求。

    14 天前
  • ESLint：如何提高所有开发者代码规范性？

    在前端开发的过程中，代码风格的一致性和规范性一直是一个非常重要的问题。如果没有一个统一的风格规范，那么代码会显得混乱无章，可读性也会变得很差。为了解决这个问题，我们通常会使用一些工具来自动化检查和修复...

    14 天前
  • Next.js 中如何使用 GraphQL 及其优化

    简介 在 Web 开发中， GraphQL 作为一种新兴的 API 查询语言，具有多种优势。在前端的开发过程中，我们经常需要通过查询接口获取后端返回的数据，而 GraphQL 可以让你的应用程序更直接...

    14 天前
  • 使用 Server-sent Events（SSE）进行大规模数据推送的最佳实践

    Server-sent Events（SSE）是一种基于 HTTP 的推送技术，它允许服务器实时向客户端推送事件数据，而无需客户端发送请求。相比于 WebSocket 等技术，SSE 更加简洁易用，适...

    14 天前

相关推荐

    暂无文章