在Qoder平台为Node.js接口添加权限验证需配置32位以上JWT_SECRET密钥、确保User模型含role字段，依次使用authMiddleware验证令牌并注入req.user，再用roleMiddleware校验角色权限，路由中须严格按此顺序绑定中间件。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
在Qoder平台中为Node.js接口添加权限验证，需结合快马平台的中间件机制与JWT认证流程，确保每个API端点只响应合法令牌且具备对应角色权限的请求。
配置JWT密钥与用户模型
打开项目根目录下的.env文件，添加一行：JWT_SECRET=your_32_char_random_string_here。密钥长度不足32字符会导致jsonwebtoken签名失败，【JWT_SECRET必须是32位以上随机字符串】。
在models/User.js中确认用户模型已包含role字段（如'user'、'admin'），该字段将在生成token时写入payload，后续用于权限比对。
编写authMiddleware中间件
新建middleware/authMiddleware.js文件，写入以下内容：
const jwt = require('jsonwebtoken');
module.exports = (req, res, next) => { const token = req.headers.authorization?.split(' ')[1]; if (!token) return res.status(401).json({ error: 'Access token missing' }); try { const decoded = jwt.verify(token, process.env.JWT_SECRET); req.user = decoded; next(); } catch (err) { if (err.name === 'TokenExpiredError') return res.status(401).json({ error: 'Token expired' }); res.status(403).json({ error: 'Invalid token' }); }};
实现角色权限校验中间件
创建middleware/roleMiddleware.js，内容如下：
module.exports = (...allowedRoles) => { return (req, res, next) => { if (!req.user || !allowedRoles.includes(req.user.role)) { return res.status(403).json({ error: 'Insufficient permissions' }); } next(); };};
这个中间件支持传入多个角色，例如roleMiddleware('admin', 'owner')，只有匹配任一角色才放行。
将中间件绑定到路由
在routes/note.js中，找到需要保护的路由，例如删除笔记接口：
router.delete('/:id', authMiddleware, roleMiddleware('admin', 'owner'), async (req, res) => { // 实际删除逻辑});
注意顺序：必须先执行authMiddleware，再执行roleMiddleware。如果颠倒顺序，req.user尚未注入，角色校验会因undefined而始终失败。
测试权限验证效果
启动服务后，用Postman发送请求：
① 不带Authorization头 → 返回401；
② 带无效token → 返回403；
③ 带有效token但用户role为'user'，访问仅允许'admin'的接口 → 返回403；
④ 带有效token且role匹配 → 返回200并执行业务逻辑。
