柯里化权限中间件通过分层参数实现复用与组合：首层接收权限规则（字符串/数组/函数），次层接收req/res/next并校验后放行或返回403。
用柯里化实现权限校验中间件，核心是把「用户角色/权限」和「所需权限规则」分离，让中间件可复用、可组合、可提前配置。不是写一个函数判断权限，而是返回一个函数，等待请求上下文（如 req）到来再执行校验。
柯里化权限中间件的基本结构
柯里化函数接收权限要求（比如字符串数组或策略函数），返回一个中间件函数，该中间件接收 req, res, next 并决定是否放行：
- 第一层参数：定义「需要什么权限」——可以是角色名（
"admin"）、权限码（["user:read", "post:write"]）、或自定义校验函数 - 第二层参数：标准 Express 中间件的
(req, res, next) - 内部从
req.user或req.auth提取当前用户权限，比对后调用next()或返回 403
简单可复用的柯里化权限中间件
下面是一个轻量但实用的实现：
const checkPermission = (requiredPerms) => {
return (req, res, next) => {
const user = req.user;
if (!user) return res.status(401).json({ error: '未登录' });
<pre class="brush:php;toolbar:false;">// 支持两种声明方式：字符串（单权限）、数组（多权限）、函数（自定义逻辑）
let hasAccess = false;
if (typeof requiredPerms === 'string') {
hasAccess = user.permissions?.includes(requiredPerms);
} else if (Array.isArray(requiredPerms)) {
hasAccess = requiredPerms.every(p => user.permissions?.includes(p));
} else if (typeof requiredPerms === 'function') {
hasAccess = requiredPerms(user, req);
}
if (hasAccess) next();
else res.status(403).json({ error: '权限不足' });}; };
使用示例：
立即学习“Java免费学习笔记（深入）”；
app.get('/admin', checkPermission('admin'), handler)app.post('/posts', checkPermission(['post:create']), handler)app.delete('/users/:id', checkPermission((u) => u.role === 'admin' || u.id === req.params.id), handler)
组合多个权限中间件（叠加校验）
柯里化天然支持组合。比如既要角色是 admin，又要请求来自内网 IP：
const isAdmin = checkPermission('admin');
const isInternal = (req, res, next) => {
const ip = req.ip || req.connection.remoteAddress;
if (ip.startsWith('192.168.') || ip === '127.0.0.1') next();
else res.status(403).json({ error: '仅限内网访问' });
};
<p>// 组合使用（顺序执行，任一失败即中断）
app.get('/metrics', isAdmin, isInternal, metricsHandler);也可以封装成高阶组合函数（如 allOf(...guards)），但通常直接链式传入更清晰直观。
进阶：带错误处理与日志的柯里化中间件
生产中建议加入上下文记录，方便排查：
const checkPermission = (requiredPerms, options = {}) => {
const { log = true, onFail = null } = options;
return (req, res, next) => {
const user = req.user;
if (!user) {
if (log) console.warn(`[Auth] Missing user in ${req.method} ${req.path}`);
return res.status(401).json({ error: '未登录' });
}
<pre class="brush:php;toolbar:false;">const granted = /* ...权限判断同上... */;
if (!granted) {
const msg = `[Auth] Denied: ${user.id} lacks ${JSON.stringify(requiredPerms)} at ${req.method} ${req.path}`;
if (log) console.warn(msg);
if (onFail) onFail(req, res, user);
return res.status(403).json({ error: '权限不足' });
}
next();}; };
调用时可传配置：checkPermission(['order:delete'], { log: true })。
