🛡️ Next.js 中间件权限验证与 API 保护的奇幻冒险

各位程序员勇士们，欢迎来到 Next.js 魔法大陆！今天我们要展开一场冒险，目标是守护我们的 API 宝藏，击退不怀好意的请求小怪兽。

本文会从底层原理到实践代码，一步步揭开 Next.js 中间件（Middleware） 的奥秘，并以轻松诙谐的方式带你理解权限验证与 API 保护的精髓。

1. 为什么需要中间件？

想象一下，你在城堡大门口（API 入口）放了一堆金子（用户数据）。如果没有守门人，谁都能进来拿一把走。😱

中间件就像是 大门口的守卫，请求想要进城，必须先经过它的检测：

你是谁？（身份认证）
你有通行证吗？（权限验证）
你是善意的村民还是黑暗的 SQL 注入骑士？（安全校验）

2. 中间件在 Next.js 的底层运行机制

在 Next.js 13+ 中，中间件有点像在 请求到达应用之前的前置 Hook。

原理简单来说：

浏览器发出请求。
Next.js 拦截请求，先经过 Middleware。
Middleware 根据逻辑决定：
- ✅ 放行：请求继续流向 API 路由或页面。
- 🚫 拦截：直接返回响应，比如跳转到登录页或者返回 403。

可以理解为：

rust 复制代码

用户请求 ---> Middleware 守卫 ---> API/页面

3. 来点代码：最小的权限守卫示例

假设我们要保护 /api/secret 这个秘密宝藏，只有持有"魔法令牌"的勇士才能访问。

javascript 复制代码

// middleware.js
import { NextResponse } from 'next/server';

export function middleware(request) {
  const token = request.cookies.get('token')?.value;

  // 如果没有 token，拦截并重定向到登录页
  if (!token) {
    return NextResponse.redirect(new URL('/login', request.url));
  }

  // 如果有 token，放行
  return NextResponse.next();
}

// 限制作用范围：只保护 /api/secret 路径
export const config = {
  matcher: ['/api/secret'],
};

🎭 表演解释：

request.cookies.get('token')：就像守卫翻查你的通行证。
NextResponse.redirect：如果没有通行证，守卫 politely 把你送去登录大厅。
matcher：告诉守卫只在某些城门口值班，而不是拦所有人。

4. API 内部的进一步保护

虽然有守卫了，但聪明的黑客可能会尝试绕过。于是我们还要在 API 内部 再放一层结界。

php 复制代码

// pages/api/secret.js
export default function handler(req, res) {
  const token = req.cookies.token;

  if (token !== 'my-super-secret-token') {
    return res.status(403).json({ message: '你没有权限进入宝藏屋 🏰' });
  }

  res.status(200).json({ message: '欢迎勇士！这是宝藏 🎉' });
}

这样即使有人绕过了中间件（比如直接攻击 API），API 本身也会再检查一次。双重保险，安全感满满。🔒

5. 一点底层知识：为什么中间件这么快？

Next.js 的中间件运行在 Edge Runtime（基于 V8 引擎，但没有 Node.js 的完整 API）。

这意味着：

中间件运行在离用户更近的边缘节点（Edge Server），速度飞快。⚡
但不能使用 fs、net 等 Node.js 内置模块。
适合做轻量逻辑：鉴权、重定向、A/B 测试、国际化路由。

换句话说，中间件就像在城门口的快速哨卡，不做复杂的事情，只做 拦截与分流。

6. 高级玩法：基于角色的权限控制

如果我们有多个角色，比如：

🧙‍♂️ 魔法师：可以进入实验室（/api/lab）
🏹 弓箭手：只能进入训练场（/api/training）
👑 国王：哪里都能进

可以在中间件里玩一波 RBAC（基于角色的访问控制）：

javascript 复制代码

// middleware.js
import { NextResponse } from 'next/server';

const rolePermissions = {
  king: ['/api/lab', '/api/training', '/api/secret'],
  wizard: ['/api/lab'],
  archer: ['/api/training'],
};

export function middleware(request) {
  const token = request.cookies.get('token')?.value;
  const role = request.cookies.get('role')?.value;
  const url = new URL(request.url);

  if (!token || !role) {
    return NextResponse.redirect(new URL('/login', request.url));
  }

  const allowedPaths = rolePermissions[role] || [];
  if (!allowedPaths.includes(url.pathname)) {
    return NextResponse.json(
      { message: '权限不足，守卫摇头 🤨' },
      { status: 403 }
    );
  }

  return NextResponse.next();
}

export const config = {
  matcher: ['/api/:path*'],
};

7. 小结 ✨

中间件 = 城门守卫，拦截和分流请求。
API 内检查 = 宝藏室的第二层结界。
Edge Runtime = 快速执行环境，适合轻量逻辑。
RBAC 权限控制 = 让不同角色拥有不同的访问权。

最后送大家一句"程序员文学"式的总结：

没有中间件的 API，就像没有锁的保险柜；

没有权限验证的系统，就像随便进出的酒馆。

我们要做的，就是让坏人喝不到一杯免费的啤酒。🍺