node.js - Nodejs/mongodb - 检查用户是否具有管理员权限(基于 token 的身份验证)

Question

在我的 express/mongoose 应用程序中，我定义了 verifyOrdinaryUser 函数来检查用户是否在服务器上进行了身份验证。效果很好，但是我在下面定义了 verifyAdmin 函数来检查用户是否也具有管理员权限(我正在使用 passport-local-mongoose 模块来定义用户模式)。如您所见，在 verifyOrdinaryUser() 函数中检查了用户的 token ，它将加载一个名为 decoded 的新属性到我试图在 verifyAdmin 中重用的请求对象，这就是我在 postman 中收到以下错误的时候。

{
  "message": "Cannot read property '_doc' of undefined",
  "error": {}
}

以下是

var User = require('../models/user');
var jwt = require('jsonwebtoken'); 
var config = require('../config.js');

exports.getToken = function (user) {
    return jwt.sign(user, config.secretKey, {
        expiresIn: 3600
    });
};

exports.verifyOrdinaryUser = function (req, res, next) {
    // check header or url parameters or post parameters for token
    var token = req.body.token || req.query.token || req.headers['x-access-token'];

    // decode token
    if (token) {
        // verifies secret and checks exp
        jwt.verify(token, config.secretKey, function (err, decoded) {
            if (err) {
                var err = new Error('You are not authenticated!');
                err.status = 401;
                return next(err);
            } else {
                // if everything is good, save to request for use in other routes
                req.decoded = decoded;
                next();
            }
        });
    } else {
        // if there is no token
        // return an error
        var err = new Error('No token provided!');
        err.status = 403;
        return next(err);
    }
};

exports.verifyAdmin = function(req,res,next){
    if(req.decoded._doc.admin !== true)  {
        return next(err);
    }else {
        return next();
    }
};

我确定我在 verifyAdmin 函数中搞砸了。中间件订单对我来说很合适欢迎提出建议

谢谢

编辑:中间件来自 app.js

app.set('views', path.join(__dirname, 'views'));
app.set('view engine', 'jade');

app.use(logger('dev'));
app.use(bodyParser.json());
app.use(bodyParser.urlencoded({ extended: false }));
app.use(cookieParser());

// passport config
var User = require('./models/user');
app.use(passport.initialize());
passport.use(new LocalStrategy(User.authenticate()));
passport.serializeUser(User.serializeUser());
passport.deserializeUser(User.deserializeUser());

app.use(express.static(path.join(__dirname, 'public')));

app.use('/', routes);
app.use('/users', users);
app.use('/dishes',dishRouter);
app.use('/promotions',promoRouter);
app.use('/leadership',leaderRouter);

Answer 1

我也在 coursera 课上。其他答案提供的详尽解释清楚地表明了对这些工具的深刻理解，但我认为它们对于这项任务来说可能是矫枉过正的。引用 Jogesh 教授在 coursera 留言板上对类似问题的回复:

“你确定你在调用 verifyAdmin 之前先调用了 verifyOrdinaryUser 吗？这两者必须一个接一个地链接。

从错误来看，req.decoded 似乎不可用。这意味着没有调用 verifyOrdinaryUser。此函数将解码后的属性添加到 req。"

verify.js 和 app.js 中的代码看起来正确，不需要更改。但是，在路由器中调用 verifyAdmin 函数时，请务必在调用 verifyOrdinaryUser 之后始终包含 verifyAdmin，如下所示:

.get(Verify.verifyOrdinaryUser, Verify.verifyAdmin, function(req, res, next) {

因为 req.decode 是在 verifyOrdinaryUser 中建立的，所以当您先调用 verifyAdmin 而没有 verifyOrdinaryUser 时，您的解码仍然未定义。您可以像其他答案建议的那样使您的 verifyAdmin 功能更彻底，但同样，此分配没有必要。