后端【免费下载链接】sailsRealtime MVC Framework for Node.js项目地址https://gitcode.com/gh_mirrors/sa/sails点击查看免费下载导读res.forbidden()是 SailsRealtime MVC Framework for Node.js内置的响应方法之一用于向客户端发送 HTTP 403Forbidden响应明确表示当前请求不被允许。它适用于登录态校验失败、越权访问、CSRF 校验不通过、策略policy拒绝等所有请求本身合法但权限不足的场景。读完本文你将掌握res.forbidden()的调用方式、默认行为、底层实现原理以及通过api/responses/forbidden.js覆盖默认行为、通过路由目标语法直接绑定响应模块的完整实战方案。方法语义什么时候该返回 403HTTP 403 状态码属于 4xx 客户端错误 系列。根据 官方参考文档 的定义res.forbidden()用来向客户端发送 403 响应表示该请求不被允许a request is not allowed。这通常意味着用户代理浏览器、App、脚本尝试执行了它无权执行的操作——例如试图修改另一个用户的密码。在 Sails 应用中最常见的触发场景包括登录态校验失败访问需要登录的接口时req.session.userId不存在越权访问用户试图操作不属于自己的资源如修改他人资料、删除他人订单策略Policy拒绝某个路由被false策略或自定义策略拦截CSRF 校验失败请求缺少或携带了错误的 CSRF 令牌。需要与 401 区分401 表示未认证不知道你是谁403 表示已认证但无权限知道你是谁但不允许你做这件事。res.forbidden()专门负责后者。基本用法在 action、helper 或 policy 中直接调用即可return res.forbidden();按照惯例调用时应使用return语句提前返回原因见下文终止性说明。文档给出的典型示例是登录守卫if ( !req.session.userId ) { return res.forbidden(); }当req.session.userId为空用户未登录时请求立即以 403 终止后续的业务逻辑不会继续执行。默认行为细节与其他内置响应方法一样res.forbidden()的行为是可定制的详情见 Custom Responses。在未做任何定制时它默认完成两件事行为说明状态码响应状态码设置为403响应体发送字符串Forbidden也就是说客户端会收到一个状态码为 403、正文为Forbidden的响应。底层实现sendStatus(403)从源码结构看Sails 核心的默认实现位于 lib/hooks/responses/defaults/forbidden.js其完整逻辑非常简洁module.exports function forbidden () { // Get access to res var res this.res; // Send status code and Forbidden message return res.sendStatus(403); };关键点函数体通过this.res拿到当前请求的响应对象this上下文由 responses 钩子在挂载时注入见下文直接委托给 Express 风格的res.sendStatus(403)该方法会同时完成设置状态码 403与发送默认状态消息Forbidden两件事与文档描述的默认行为完全一致默认实现没有读取req.wantsJSON、不渲染视图、也不接收任何业务参数——它就是一个纯粹的标准 403 出口。源码级原理响应方法如何挂载到 res 上res.forbidden()并不是凭空出现的而是由 Sails 的responses 钩子在请求到达时动态挂载到每个res对象上的。理解这条链路有助于你判断自定义后何时生效。1. 钩子加载与默认合并responses 钩子的入口位于 lib/hooks/responses/index.js。在loadModules阶段调用sails.modules.loadResponses(...)加载应用自定义的响应模块即api/responses/目录下的文件加载逻辑见 lib/hooks/moduleloader/index.js 中的loadResponses它使用includeAll.optional按文件名生成响应键名使用_.defaults()把内置默认响应作为兜底合并进去其中就包括_.defaults(responseDefs, { ok: require(./defaults/ok), negotiate: require(./defaults/negotiate), notFound: require(./defaults/notFound), serverError: require(./defaults/serverError), forbidden: require(./defaults/forbidden), badRequest: require(./defaults/badRequest) });注意_.defaults的语义只有应用没有自定义同名响应时默认实现才会被使用。这正是如果在你的应用里不存在forbidden.jsSails 将使用默认行为这一文档声明的代码依据。此外钩子还会检查自定义响应名是否与保留的res方法冲突如view、send、json等见reservedResKeys数组冲突时会抛出E_INVALID_CUSTOM_RESPONSE类错误避免覆盖 Express 原生方法。2. 请求级挂载在routes.before[all /*]中间件同样位于 lib/hooks/responses/index.js中钩子遍历sails.middleware.responses把每个响应方法绑定到当前res对象_.each(sails.middleware.responses, function eachMethod(responseFn, name) { res[name] responseFn.bind({ req: req, res: res }); });bind注入了{ req, res }作为this上下文——这就是默认实现里this.res的来源也是自定义响应函数里this.req/this.res的来源。由于该挂载发生在每个请求的早期阶段你在 action、policy、自定义中间件中调用res.forbidden()时它一定已经就绪。3. 终止性必须搭配 return文档特别强调res.forbidden()是终止性terminal方法通常应该是某个请求处理流程的最后一行代码——这正是整篇文档反复建议使用return res.forbidden()的原因。因为一旦调用响应就已确定状态码与正文已发出或即将发出后续代码继续执行会导致响应头已发送后再次写入之类的错误或产生不可预期的行为。覆盖默认行为自定义 api/responses/forbidden.jsres.forbidden()是用户态userland响应方法可以被覆盖或修改它运行的是api/responses/forbidden.js中定义的方法如果应用中没有forbidden.js则回退到默认行为。这是 Sails 所有内置响应方法res.ok()、res.serverError()、res.notFound()、res.badRequest()等的通用扩展机制参见 AddingCustomResponse。在项目根目录创建api/responses/forbidden.js/** * api/responses/forbidden.js * * 自定义 403 (Forbidden) 处理器。 * 覆盖 Sails 内置的 res.forbidden() 默认行为。 * * 用法 * return res.forbidden(); * return res.forbidden(无权修改他人的资料); */ module.exports function forbidden(message) { var req this.req; var res this.res; var sails req._sails; var statusCode 403; // 构造响应体 var result { status: statusCode, message: message || Forbidden }; // 记录日志verbose 级别仅调试可见 if (message) { sails.log.verbose(Sending 403 (Forbidden) response: \n, message); } // 如果客户端期望 JSON直接返回 JSON 结构 if (req.wantsJSON) { return res.status(statusCode).json(result); } // 否则渲染自定义错误页可选 res.status(statusCode); return res.view(403, result, function(err) { // 视图渲染失败时回退为纯文本 if (err) { return res.sendStatus(statusCode); } }); };要点说明this.req/this.res可用挂载时钩子注入的上下文保证了你可以在自定义响应里访问当前请求与响应req.wantsJSON协商Sails 请求解释器会在req上暴露wantsJSON标志可按客户端期望返回 JSON 或 HTML这与 Sails transport-agnosticHTTP 与 WebSocket 兼容的设计一致参见 res 总览视图渲染可选如果应用存在views/403.ejs等视图模板可渲染友好错误页渲染失败再回退为sendStatus(403)保证接口行为稳健不要覆盖保留方法名响应文件名不能与view、send、json等保留键冲突响应名解析规则见 lib/hooks/responses/index.js 的reservedResKeys与 lib/hooks/moduleloader/index.js 的loadResponses。进阶把路由直接绑定到响应模块responses 钩子还教路由器理解response目标语法你可以把某个路由地址直接绑定到一个响应模块无需写 action。其实现位于 lib/hooks/responses/onRoute.js当遇到route:typeUnknown事件且route.target.response存在时会执行sails.router.bind(route.path, function(req, res) { res[route.target.response](); }, route.verb, route.options);例如在config/routes.js中声明任何对/admin/*的 GET 请求一律返回 403module.exports.routes { get /admin/sweet-dashboard-or-report-or-something: { response: forbidden } };该语法同样支持自定义响应名如{ response: notImplemented }。若绑定的响应名不存在钩子会记录sails.log.error并忽略该绑定而不会让应用崩溃——这也是无效响应名场景下的容错行为。框架内部的真实调用场景res.forbidden()不仅是给应用开发者使用的 APISails 核心模块也在多处直接调用它从侧面印证了它的语义定位策略拒绝在 lib/hooks/policies/index.js 中当路由的某个策略被显式设为false时Sails 生成一个neverAllow函数并调用res.forbidden()立即拒绝请求var neverAllow function neverAllow (req, res) { return res.forbidden(); }; neverAllow._middlewareType POLICY: false (neverAllow);CSRF 校验失败在 lib/hooks/security/csrf/index.js 中当请求令牌缺失或不匹配时调用res.forbidden(CSRF mismatch)生产环境与 socket 请求场景均如此。注意这里向自定义响应传入了参数CSRF mismatch如果你自定义了forbidden.js需要像上文示例一样接收并处理该参数。错误协商分发在 lib/hooks/responses/defaults/negotiate.js 中res.negotiate(err)根据错误状态码分发到对应响应方法if (statusCode 403) { return res.forbidden(body); } if (statusCode 404) { return res.notFound(body); } if (statusCode 400 statusCode 500) { return res.badRequest(body); }也就是说任何携带 403 状态码的错误经过res.negotiate()时最终都会落到res.forbidden()。因此自定义api/responses/forbidden.js会同时影响这些内部调用点的输出形态。与其他内置响应方法的分工Sails 共内置六组默认响应方法合并逻辑见 lib/hooks/responses/index.jsres.forbidden()在其中扮演权限拒绝的专属角色方法状态码语义res.ok()200请求成功res.badRequest()400请求本身非法参数错误res.forbidden()403已识别请求方但无权限res.notFound()404资源不存在Sails 在未匹配任何路由时会自动调用见 notFound 默认实现res.serverError()500服务器内部错误res.negotiate()动态根据错误状态码分发到上述方法在权限控制场景中的最佳实践是登录状态校验用res.forbidden()或交给 policy参数校验用res.badRequest()资源缺失用res.notFound()。结合 Policies 与 Security/CSRF 文档你可以在 Sails 中构建一套语义清晰的 4xx 错误出口体系。小结res.forbidden()发送403 Forbidden响应用于表达请求不被允许默认实现即 lib/hooks/responses/defaults/forbidden.js 中的res.sendStatus(403)它由 responses 钩子在每个请求上通过bind({req, res})挂载可被api/responses/forbidden.js完全覆盖也可通过{ response: forbidden }路由语法直接绑定Sails 的策略false策略的neverAllow、CSRF 校验、res.negotiate()等内部机制都在使用它自定义时记得兼容可能携带参数如CSRF mismatch的调用方式调用时务必使用return res.forbidden()以利用其终止性避免后续代码继续执行。赞分享后端【免费下载链接】sailsRealtime MVC Framework for Node.js项目地址https://gitcode.com/gh_mirrors/sa/sails点击查看免费下载相关推荐Dexter权限拒绝处理永久拒绝与临时拒绝的差异指南Dexter权限拒绝处理永久拒绝与临时拒绝的差异指南 在Android应用开发中权限管理是一个至关重要的环节。Dexter作为一款优秀的Android权限请移动开发认证鉴权Noctalia Shell社区贡献指南从代码提交到文档维护Noctalia Shell社区贡献指南从代码提交到文档维护 Noctalia Shell是一款为Wayland精心打造的时尚简约桌面外壳凭借其现代化的设计桌面应用Sails 框架 res.serverError() 详解500 错误响应方法与自定义错误页Sails 框架 res.serverError 详解500 错误响应方法与自定义错误页 本篇指南深入讲解 Sails 实时 MVC 框架内置响应方法 res后端创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考