带请求状态的类型化 Express 中间件

概述

带请求状态的类型化 Express 中间件：通过声明合并扩展 Express 请求类型，使中间件挂载的已认证用户数据在后续处理函数中以完整类型安全读取。

解决什么问题

本示例演示如何用 TypeScript 实现「带请求状态的类型化 Express 中间件」。它聚焦一个具体且可复用的技术要点，把完整实现与必要说明放在一起，读者可以直接复制使用，也可以据此理解背后的设计思路与取舍。示例刻意保持职责单一，避免把多个无关功能揉进同一段代码，从而降低理解与复用成本。

核心思路

代码在进入核心逻辑前先做输入与边界检查，对非法参数提前返回或抛出明确错误，避免错误状态在下游扩散。核心处理部分尽量保持清晰、可预测，把校验、计算与状态变更分离，使逻辑更易于测试和推演。对于可能失败或耗时的操作，示例显式处理失败路径并给出清晰的错误信息，而不是让异常静默吞没，从而缩短排查时间。

适用场景

本示例适用于以下场景：认证与令牌校验。在实际项目中，应根据真实负载与输入规模调整参数与容量，关注边界条件与并发情形下的行为，并用单元测试或集成测试锁定预期结果，防止后续修改悄然改变行为。

注意事项

把示例用于生产环境时，应结合团队的编码规范、错误处理约定与可观测性要求加以调整。例如补充结构化日志以便追踪，明确超时与重试策略以提升健壮性，并对用户输入做必要校验以满足安全边界要求。理解示例背后的原理，往往比直接复制代码更重要，因为需求变化时通常需要对参数与结构做出调整。

代码示例

import express, { type NextFunction, type Request, type Response } from "express";

export interface AuthUser {
  id: string;
  roles: string[];
}

declare module "express-serve-static-core" {
  interface Request {
    user?: AuthUser;
  }
}

export function requireAuth(req: Request, res: Response, next: NextFunction): void {
  const token = req.header("authorization")?.replace(/^Bearer /, "");
  if (!token) {
    res.status(401).json({ error: "missing token" });
    return;
  }
  try {
    req.user = verifyToken(token);
    next();
  } catch (error) {
    res.status(401).json({ error: (error as Error).message });
  }
}

function verifyToken(token: string): AuthUser {
  const payload = JSON.parse(Buffer.from(token.split(".")[1], "base64").toString());
  return { id: payload.sub, roles: payload.roles ?? [] };
}

const app = express();
app.use(requireAuth);