Middleware ב-Express: איך next() עובד, עם דוגמאות

middleware ב-Express הוא פונקציה עם החתימה (req, res, next) שרצה בין הרגע שבו בקשה מגיעה לרגע שבו נשלחת תשובה. כל middleware יכול לקרוא או לשנות את req ואת res, לסיים את הבקשה בשליחת תשובה, או לקרוא ל-next() כדי להעביר את הבקשה לפונקציה הבאה בתור. app.use(fn) מוסיף middleware לכל בקשה, ו-Express מריץ הכל לפי הסדר שבו רשמתם אותו.

const express = require('express');
const app = express();

function logger(req, res, next) {
    req.startedAt = Date.now();
    console.log('1. logger:', req.method, req.url);
    next();
}

app.use(logger);

app.use((req, res, next) => {
    console.log('2. second middleware');
    next();
});

app.get('/', (req, res) => {
    console.log('3. route handler');
    res.json({ ok: true, tookMs: Date.now() - req.startedAt });
});

app.listen(3000);

ה-Console מדפיס את שלושת השלבים לפי הסדר בכל בקשה, וה-route קורא את req.startedAt, מאפיין שה-logger הוסיף. שלחו GET /missing: שני ה-middleware עדיין מדפיסים, כי app.use() תואם לכל נתיב, ואז Express עונה 404 כי אף route לא התאים.

לשכוח את next()

middleware שלא שולח תשובה ולא קורא ל-next() משאיר את הבקשה תלויה. הלקוח מחכה עד ל-timeout, ושום דבר לא מופיע בלוגים, וזה הופך את זה לבאג middleware נפוץ. מחקו את next(); מ-logger שלמעלה ושלחו שוב GET /: הבקשה לא מקבלת תשובה אף פעם.

הכלל פשוט: כל מסלול בתוך middleware מסתיים בדיוק באחד מאלה:

• next() כדי להמשיך,
• next(err) כדי לקפוץ ל-error handler (ראו טיפול בשגיאות ב-Express),
• תשובה כמו res.json() או res.status(401).send().

גם קריאה ל-next() אחרי שליחת תשובה היא באג. ה-handler הבא מנסה לשלוח תשובה שנייה ו-Express זורק ERR_HTTP_HEADERS_SENT. כתבו return res.status(401).json(...) כדי שהפונקציה תיעצר שם.

בדיקת הרשאה שעוצרת את הבקשה

middleware שדוחה בקשה שולח את התשובה בעצמו ואף פעם לא קורא ל-next(). העבירו אותו כארגומנט נוסף ל-route כדי להגן רק על ה-route הזה:

const express = require('express');
const app = express();

function requireApiKey(req, res, next) {
    if (req.get('x-api-key') !== 'secret123') {
        return res.status(401).json({ error: 'Missing or wrong API key' });
    }
    req.client = 'reporting-app';
    next();
}

app.get('/public', (req, res) => {
    res.json({ message: 'Anyone can read this' });
});

app.get('/admin/stats', requireApiKey, (req, res) => {
    res.json({ users: 42, caller: req.client });
});

// GET /admin/stats
app.listen(3000);

הבקשה הראשונה מקבלת 401 עם {"error":"Missing or wrong API key"}. הוסיפו בשורת הבקשה את ה-header ‏x-api-key: secret123 ושלחו שוב: עכשיו התשובה היא {"users":42,"caller":"reporting-app"}. ‏/public אף פעם לא מריץ את הבדיקה.

איפה middleware רץ

הסדר הוא חלק מהמשמעות. logger שנרשם אחרי ה-routes אף פעם לא ירשום בקשות שה-routes האלה ענו עליהן, כי route ששולח תשובה לא קורא ל-next(). רשמו קודם middleware לכל האפליקציה, כמו לוגים, פענוח גוף ו-CORS, אחר כך את ה-routes, ואחר כך את ה-handlers של 404 ושל שגיאות.

Middleware מובנים

Express מגיע עם כמה פונקציות middleware שמוסיפים עם app.use(). ה-body parsers ממלאים את req.body; בלעדיהם הוא undefined.

const express = require('express');
const app = express();

app.use(express.json());
app.use(express.urlencoded());

app.get('/', (req, res) => {
    res.send('Send POST /echo with a body');
});

app.post('/echo', (req, res) => {
    res.json({ type: req.get('content-type'), body: req.body });
});

app.listen(3000);

שלחו POST /echo עם הגוף {"name": "Ada"} והתשובה כוללת "body":{"name":"Ada"}. הסירו את השורה של express.json(), שלחו שוב, ו-body נעלם מהתשובה: req.body הוא undefined, ו-JSON.stringify משמיט ערכים שהם undefined. גם חבילות כמו cors, helmet ו-morgan הן middleware: מתקינים אותן עם npm install ומעבירים אותן ל-app.use() באותה דרך. הדף על express.static מכסה הגשת קבצים.

טעויות נפוצות

לקרוא ל-middleware במקום להעביר אותו. app.use(logger()) מריץ את logger פעם אחת בעלייה ורושם את הערך שהוא מחזיר. כתבו app.use(logger). (ל-express.json() יש סוגריים כי הוא מחזיר פונקציית middleware.)

להוסיף את ה-body parser אחרי ה-routes. ה-routes רצים קודם ורואים את req.body כ-undefined.

לצפות ש-app.use('/admin', fn) יתאים לנתיב אחד. הוא רץ גם ל-/admin/users ולכל נתיב אחר מתחת ל-/admin, לכל method. כדי להגן על route בודד, העבירו את ה-middleware ל-app.get('/admin', fn, handler).