Expressjs路由：基于角色的路由

Question

我有一个小难题来解决这个问题。

我有一个用户和一个管理员角色。

userRoles: ['user', 'admin']

用户应该能够列出除管理员以外的所有用户。管理员可以列出所有用户。

我想到的第一个解决方案是检查控制器级别的角色：

if (req.user.role == 'admin'){list all users}
else{list all except admins}

但是我更想做的是在路线层面上，保持控制器更干净，但不知何故它确实起作用了。它只列出用户，即使我作为管理员登录。

router.get('/', auth.hasRole('user'), controller.index);
router.get('/', auth.hasRole('admin'), controller.getUsers);


function hasRole(roleRequired) {
 if (!roleRequired) throw new Error('Required role needs to be set');

  return compose()
    .use(isAuthenticated())
    .use(function meetsRequirements(req, res, next) {
      if (config.userRoles.indexOf(req.user.role) >= config.userRoles.indexOf(roleRequired)) {
        next();
      }
      else {
        res.status(403).send('Forbidden');
      }
    });
}

有什么建议吗？谢谢！

Answer 1

因此，我不确定这是否是您的问题，但需要记住的是JS不能保证数组的索引（根据ecmascript规范），因此您的

最好像我在AuthZ中那样使用位掩码，将权限或角色分配为固定的二进制数，然后可以对其进行筛选：

// lib/rights.js
module.exports = {
  READ : 1 << 0, // 001
  WRITE : 1 << 1, // 010
  DELETE : 1 << 2 //100
};

// lib/roles.js
var rights = require('./rights');
    module.exports = {
      ADMIN : rights.READ ^ rights.WRITE ^ rights.DELETE,
      MEMBER : rights.READ ^ rights.WRITE,
      GUEST : rights.READ
    };

然后，您可以非常轻松地检查：

if (user.role & resource.rightsRequired) { /* you're in! */ }