M

MLOG

中文

探索 Express.js 中的高级中间件模式，构建强大、可扩展且可维护的 Web 应用程序，面向全球受众。了解错误处理、身份验证、速率限制等。

Express.js 中间件：掌握可扩展应用程序的高级模式

Express.js，一个快速、非主观、极简的 Node.js Web 框架，是构建 Web 应用程序和 API 的基石。 其核心在于中间件的强大概念。 这篇博文深入探讨了高级中间件模式，为您提供知识和实践示例，以创建适用于全球受众的强大、可扩展且可维护的应用程序。 我们将探讨错误处理、身份验证、授权、速率限制以及构建现代 Web 应用程序的其他关键方面的技术。

理解中间件：基础

Express.js 中的中间件函数是可以访问请求对象 (req)、响应对象 (res) 和应用程序请求-响应周期中的下一个中间件函数的函数。 中间件函数可以执行各种任务，包括：

中间件本质上是一个管道。 每个中间件执行其特定功能，然后可以选择将控制权传递给链中的下一个中间件。 这种模块化方法促进了代码重用、关注点分离和更简洁的应用程序架构。

中间件的解剖

典型的中间件函数遵循以下结构：

function myMiddleware(req, res, next) {
  // 执行操作
  // 示例：记录请求信息
  console.log(`Request: ${req.method} ${req.url}`);

  // 调用堆栈中的下一个中间件
  next();
}

next() 函数至关重要。 它向 Express.js 发出信号，表明当前中间件已完成其工作，并且控制权应传递给下一个中间件函数。 如果未调用 next()，则请求将被阻止，并且永远不会发送响应。

中间件的类型

Express.js 提供了几种类型的中间件，每种中间件都有不同的用途：

高级中间件模式

让我们探索一些可以显着提高 Express.js 应用程序的功能、安全性和可维护性的高级模式。

1. 错误处理中间件

有效的错误处理对于构建可靠的应用程序至关重要。 Express.js 提供了一个专用的错误处理中间件函数，该函数放置在中间件堆栈中的*最后*。 此函数接受四个参数：(err, req, res, next)。

这是一个例子：

// 错误处理中间件
app.use((err, req, res, next) => {
  console.error(err.stack); // 记录错误以进行调试
  res.status(500).send('Something broke!'); // 使用适当的状态代码进行响应
});

错误处理的关键注意事项：

2. 身份验证和授权中间件

保护您的 API 并保护敏感数据至关重要。 身份验证验证用户的身份，而授权确定允许用户执行的操作。

身份验证策略：

授权策略：

示例（JWT 身份验证）：

const jwt = require('jsonwebtoken');
const secretKey = 'YOUR_SECRET_KEY'; // 替换为基于环境的强密钥

// 用于验证 JWT 令牌的中间件
function authenticateToken(req, res, next) {
  const authHeader = req.headers['authorization'];
  const token = authHeader && authHeader.split(' ')[1];

  if (token == null) return res.sendStatus(401); // 未经授权

  jwt.verify(token, secretKey, (err, user) => {
    if (err) return res.sendStatus(403); // 禁止
    req.user = user; // 将用户数据附加到请求
    next();
  });
}

// 受身份验证保护的示例路由
app.get('/profile', authenticateToken, (req, res) => {
  res.json({ message: `Welcome, ${req.user.username}` });
});

重要的安全注意事项：

3. 速率限制中间件

速率限制可保护您的 API 免受滥用，例如拒绝服务 (DoS) 攻击和过度资源消耗。 它限制了客户端在特定时间窗口内可以发出的请求数。

像 express-rate-limit 这样的库通常用于速率限制。 还可以考虑使用 helmet 包，除了其他一系列安全增强功能外，该包还将包含基本的速率限制功能。

示例（使用 express-rate-limit）：

const rateLimit = require('express-rate-limit');

const limiter = rateLimit({
  windowMs: 15 * 60 * 1000, // 15 分钟
  max: 100, // 将每个 IP 限制为每个 windowMs 100 个请求
  message: '来自此 IP 的请求过多，请在 15 分钟后重试',
});

// 将速率限制器应用于特定路由
app.use('/api/', limiter);

// 或者，应用于所有路由（通常不太理想，除非应同等对待所有流量）
// app.use(limiter);

速率限制的自定义选项包括：

4. 请求正文解析中间件

默认情况下，Express.js 不解析请求正文。 您需要使用中间件来处理不同的正文格式，例如 JSON 和 URL 编码的数据。 尽管较旧的实现可能使用了像 `body-parser` 这样的包，但当前的最佳实践是使用 Express 的内置中间件，因为它自 Express v4.16 起可用。

示例（使用内置中间件）：

app.use(express.json()); // 解析 JSON 编码的请求正文
app.use(express.urlencoded({ extended: true })); // 解析 URL 编码的请求正文

express.json() 中间件解析带有 JSON 有效负载的传入请求，并使解析后的数据在 req.body 中可用。 express.urlencoded() 中间件解析带有 URL 编码有效负载的传入请求。 { extended: true } 选项允许解析丰富的对象和数组。

5. 日志记录中间件

有效的日志记录对于调试、监视和审核您的应用程序至关重要。 中间件可以拦截请求和响应以记录相关信息。

示例（简单日志记录中间件）：

const morgan = require('morgan'); // 一种流行的 HTTP 请求记录器

app.use(morgan('dev')); // 以“dev”格式记录请求

// 另一个示例，自定义格式
app.use((req, res, next) => {
  console.log(`${req.method} ${req.url} - ${new Date().toISOString()}`);
  next();
});

对于生产环境，请考虑使用更强大的日志记录库（例如，Winston、Bunyan）并具有以下内容：

6. 请求验证中间件

验证传入请求以确保数据完整性并防止意外行为。 这可以包括验证请求标头、查询参数和请求正文数据。

请求验证库：

示例（使用 Joi）：

const Joi = require('joi');

const userSchema = Joi.object({
  username: Joi.string().min(3).max(30).required(),
  email: Joi.string().email().required(),
  password: Joi.string().min(6).required(),
});

function validateUser(req, res, next) {
  const { error } = userSchema.validate(req.body, { abortEarly: false }); // 将 abortEarly 设置为 false 以获取所有错误

  if (error) {
    return res.status(400).json({ errors: error.details.map(err => err.message) }); // 返回详细的错误消息
  }

  next();
}

app.post('/users', validateUser, (req, res) => {
  // 用户数据有效，继续创建用户
  res.status(201).json({ message: 'User created successfully' });
});

请求验证的最佳实践：

7. 响应压缩中间件

通过在将响应发送到客户端之前对其进行压缩来提高应用程序的性能。 这减少了传输的数据量，从而缩短了加载时间。

示例（使用压缩中间件）：

const compression = require('compression');

app.use(compression()); // 启用响应压缩（例如，gzip）

compression 中间件根据客户端的 Accept-Encoding 标头自动使用 gzip 或 deflate 压缩响应。 这对于提供静态资产和大型 JSON 响应特别有益。

8. CORS（跨域资源共享）中间件

如果您的 API 或 Web 应用程序需要接受来自不同域（来源）的请求，则需要配置 CORS。 这涉及设置适当的 HTTP 标头以允许跨域请求。

示例（使用 CORS 中间件）：

const cors = require('cors');

const corsOptions = {
  origin: 'https://your-allowed-domain.com',
  methods: 'GET,POST,PUT,DELETE',
  allowedHeaders: 'Content-Type,Authorization'
};

app.use(cors(corsOptions));

// 或者允许所有来源（用于开发或内部 API -- 谨慎使用！）
// app.use(cors());

CORS 的重要注意事项：

9. 静态文件服务

Express.js 提供了用于提供静态文件（例如，HTML、CSS、JavaScript、图像）的内置中间件。 这通常用于提供应用程序的前端。

示例（使用 express.static）：

app.use(express.static('public')); // 从“public”目录提供文件

将您的静态资产放在 public 目录中（或您指定的任何其他目录）。 然后，Express.js 将根据其文件路径自动提供这些文件。

10. 用于特定任务的自定义中间件

除了讨论的模式之外，您还可以创建专为您的应用程序的特定需求量身定制的自定义中间件。 这允许您封装复杂的逻辑并促进代码重用。

示例（用于功能标志的自定义中间件）：

// 自定义中间件，用于根据配置文件启用/禁用功能
const featureFlags = require('./config/feature-flags.json');

function featureFlagMiddleware(featureName) {
  return (req, res, next) => {
    if (featureFlags[featureName] === true) {
      next(); // 功能已启用，继续
    } else {
      res.status(404).send('功能不可用'); // 功能已禁用
    }
  };
}

// 示例用法
app.get('/new-feature', featureFlagMiddleware('newFeatureEnabled'), (req, res) => {
  res.send('这是新功能！');
});

此示例演示了如何使用自定义中间件来控制对基于功能标志的特定路由的访问。 这允许开发人员控制功能发布，而无需重新部署或更改尚未完全审查的代码，这是软件开发中的常见做法。

全球应用程序的最佳实践和注意事项

结论

掌握高级中间件模式对于构建强大、安全且可扩展的 Express.js 应用程序至关重要。 通过有效地利用这些模式，您可以创建不仅功能强大而且可维护且非常适合全球受众的应用程序。 请记住在整个开发过程中优先考虑安全性、性能和可维护性。 通过仔细的规划和实施，您可以利用 Express.js 中间件的力量来构建成功的 Web 应用程序，以满足全球用户的需求。

进一步阅读：