企业官网建设流程全解析

node-blog路由设计实战：如何用koa-router打造RESTful接口与权限控制

【免费下载链接】node-blog:rocket:《Node.js从入门到上线》A blog build with Koa2.项目地址: https://gitcode.com/gh_mirrors/node/node-blog

node-blog 是一款基于 Koa2 + MongoDB 的开源博客系统，它的路由设计堪称新手学习koa-router的最佳范本。本文将带你一步步拆解 node-blog 的路由组织方式，看它如何用极简代码同时实现RESTful接口与登录/管理员权限控制，并分享可直接复用到你自己项目中的实战技巧。

为什么说路由是博客系统的"交通枢纽"

一个博客网站的用户注册、文章发布、评论留言、分类管理，本质上都是"请求 → 路由 → 控制器"的流转。node-blog 把所有路由集中在routes/目录下，每个模块各司其职，结构一目了然：

这种"入口 + 模块"的设计，让接口路由的维护成本大大降低，也是所有大型 Koa2 项目的通用做法。

一键搭建路由总入口：RESTful接口的集中注册

node-blog 的路由总入口在 routes/index.js，短短几行代码就完成了全部接口的注册：

module.exports = (app) => { router.get('/', require('./posts').index) router.get('/about', require('./about').index) router.post('/signup', require('./user').signup) router.get('/posts/:id', require('./posts').show) app.use(router.routes()).use(router.allowedMethods()) }

注意末尾的router.allowedMethods()，它会自动处理不支持的请求方法（比如对 GET 接口发起 POST 请求时返回 405），这是 koa-router 打造规范 RESTful接口 的必备收尾动作。最后在 index.js 中调用router(app)，整个博客的路由就全部生效了。

动态路由的魔力：/posts/:id 如何精准定位文章

RESTful 接口 设计的核心是"用 URL 表达资源"。node-blog 用:id占位符实现了优雅的动态路由：

router.get('/posts/:id', require('./posts').show)

在 posts.js 的show方法中，通过ctx.params.id就能拿到 URL 里的文章 ID，再交给 MongoDB 查询即可。这里有个非常值得学习的细节——参数校验：

if (postId.length !== 24) { ctx.throw(404, '此主题不存在或已被删除') }

因为 MongoDB 的 ObjectId 固定为 24 位，提前校验能避免无效查询，这是新手最容易忽略、却又极其重要的接口健壮性设计。

登录权限控制：中间件让接口"一键上锁"

node-blog 最精彩的莫过于用 koa-router 中间件实现权限控制。看 routes/index.js 中的登录校验：

async function isLoginUser (ctx, next) { if (!ctx.session.user) { ctx.flash = { warning: '未登录, 请先登录' } return ctx.redirect('/signin') } await next() }

它就是一个纯函数中间件：已登录则await next()放行，未登录则重定向到登录页。注册接口时把它塞进去，保护立即生效：

router.get('/posts/new', isLoginUser, require('./posts').create) router.post('/posts/new', isLoginUser, require('./posts').create) router.get('/signout', isLoginUser, require('./user').signout)

发布文章、退出登录都需要登录后操作，一行中间件就搞定了权限控制，代码复用率极高。

管理员权限控制：isAdmin 的双重校验

对于删除分类这类高危操作，node-blog 提供了更严格的isAdmin中间件（见 routes/index.js），它在登录校验的基础上，还要确认ctx.session.user.isAdmin为 true，否则提示"没有权限"。

router.get('/category/new', isAdmin, require('./category').create) router.get('/category/:id/delete', isAdmin, require('./category').destroy)

这套登录验证 + 角色鉴权的分层设计，正是权限控制的标准姿势：先用登录中间件挡掉未登录用户，再用角色中间件筛选普通用户，层层设防。

一函数两用：GET 与 POST 的优雅分流

很多刚学 Koa2 的同学会把"显示表单"和"提交表单"写成两个函数，而 node-blog 给出了更精炼的解法——在同一个处理函数里用ctx.method分流，比如注册接口（user.js）：

async signup (ctx, next) { if (ctx.method === 'GET') { await ctx.render('signup') return } // 这里是 POST 提交逻辑 const { name, email, password } = ctx.request.body ... }

这样router.get('/signup')和router.post('/signup')可以共用一份业务代码，既减少了重复，又保持了接口语义清晰。发布文章 posts.js、新建分类也采用了同样的模式。

权限控制之外的兜底：404 错误处理

路由设计不只有"正常路径"，异常处理同样关键。node-blog 在路由注册的最后挂载了 404 兜底逻辑（routes/index.js），所有未匹配到的路径统一渲染 404 页面，配合 middlewares/error_handler.js 错误中间件，形成完整的异常响应链路。

小结：把这套路由设计用起来

回顾 node-blog 的路由设计，四个要点值得立刻抄进自己的 Koa2 项目：

1. 集中注册：用一个入口文件管理所有接口路由，配合router.allowedMethods()保证 RESTful接口 规范；
2. 中间件鉴权：把登录校验、角色校验写成独立中间件，插入式保护接口，权限控制不再散落各处；
3. 动态路由 + 参数校验：用:id表达资源，先校验再查询，提升接口健壮性；
4. 方法分流：GET 渲染、POST 处理，一个函数搞定两种请求，代码更精简。

如果你正准备学习 Koa2 后端开发，直接参考 node-blog 的 routes/ 目录，照着这份路由设计实战逐行阅读，很快就能写出结构清晰、权限安全的 RESTful接口 了。

【免费下载链接】node-blog:rocket:《Node.js从入门到上线》A blog build with Koa2.项目地址: https://gitcode.com/gh_mirrors/node/node-blog