猫鼬在更新之前检查用户是否拥有文档

Question

我正在尝试检查 用户 在更新文档之前是否拥有该文档或删除它，并希望尽可能保持此文档干燥。理想情况下，我不必必须对数据库进行两次调用，而我首先要在findById().then(doc => {check if user owns document and then -> doc.findByIdAndUpdate() }) 处调用数据库，而是将其保留为对数据库的一次调用。

我经常不得不对 express routes 执行此检查，并考虑在 mongoose .pre('update') 中间件上实现这一层逻辑。但我不知道如何将传入的 userid 从 req 对象 传递给我的中间件验证功能？

有没有更好的层来实现这个检查功能？还是每次我想检查用户是否拥有文档并在每个快速路由中写出时，我都必须向数据库发出两个请求？

我目前的实现是：

const addDocToDoc = (req, res, next) => {
    let doc1id = req.params.id;
    let doc2id  = req.params.doc2id;
    Doc1.findById(doc1id)
        .then(doc1 => {
            if(userCanAlter(doc1, req.user, res)) {
                doc1.doc2s.push(doc2id)
                return doc1.save().then(updatedDoc1 => res.send(updatedDoc1))
            }
        }).catch(next)
}

userCanAlter() 看起来像这样：

function userCanAlter(instance, user, res) {
        if (!instance) { res.status(404).send("Document does not exist."); return false}
        if (instance.user != user) { res.status(401).send("User unauthorized"); return false}
        else return true;
    }

显然，这是一个非常简单的更新，但更复杂的更新需要在保存之前进行更多配置。

Answer 1

发现当前的实施是最好的和最干燥的实施。

Answer 2

您可以简单地将您的用户包装在 find 查询中并使用 findOne()，类似于：

const addDocToDoc = (req, res, next) => {
    const {
        user = ''
    } = req;
    const {
        id = '', doc2id = ''
    } = req.params;
    Doc1.findOne({
            _id: id,
            user
        })
        .then(doc => {
            if (!doc) {
                return res.status(400).json({
                    message: 'User Not Found!!'
                });
            }
            doc.doc2s.push(doc2id);
            doc.save()
                .then(updatedDoc1 => res.status(200).json(updatedDoc1))
                .catch(err => res.status(500).json({
                    message: 'Error While Updating!!',
                    error: err
                }));
        })
        .catch(err => res.status(500).json({
            message: 'Error While Fetching!!',
            error: err
        }));
}

另外我建议你在命名方面做一些工作，因为这可能会搞砸几次。

如果您想为未经授权的用户抛出特定错误，您可以坚持自己的实施方式，只是不需要单独的方法来检查所有权。我用 async/await 简化了它，代码是：

const addDocToDoc = async (req, res, next) => {
    try {
        const {
            user = ''
        } = req;
        const {
            id = '', doc2id = ''
        } = req.params;
        const doc = await Doc1.findById(id);
        if (!doc || !doc.user || doc.user !== user) {
            return res.status(401).json({
                message: 'Unauthorized User!!'
            });
        }
        doc.doc2s.push(doc2id);
        const updatedDoc1 = await doc.save();
        return res.status(200).json(updatedDoc1);
    } catch (err) {
        res.status(500).json({
            message: 'Error While Updating Record!!',
            error: err
        });
    }
}

Ps：你可能需要一些修改，因为我没有机会运行它。

希望这会有所帮助:)