Middleware trong Express: next() hoạt động thế nào

Middleware trong Express là một hàm có chữ ký (req, res, next), chạy trong khoảng từ lúc request đến cho tới lúc response được gửi đi. Mỗi middleware có thể đọc hoặc thay đổi req và res, kết thúc request bằng cách gửi response, hoặc gọi next() để chuyển request cho hàm kế tiếp trong hàng. app.use(fn) thêm middleware cho mọi request, và Express chạy mọi thứ theo đúng thứ tự bạn đăng ký.

const express = require('express');
const app = express();

function logger(req, res, next) {
    req.startedAt = Date.now();
    console.log('1. logger:', req.method, req.url);
    next();
}

app.use(logger);

app.use((req, res, next) => {
    console.log('2. second middleware');
    next();
});

app.get('/', (req, res) => {
    console.log('3. route handler');
    res.json({ ok: true, tookMs: Date.now() - req.startedAt });
});

app.listen(3000);

Với mỗi request, Console ghi ra ba bước theo thứ tự, và route đọc req.startedAt, một thuộc tính do logger thêm vào. Gửi GET /missing: hai middleware vẫn ghi log, vì app.use() khớp với mọi đường dẫn, rồi Express trả về 404 vì không có route nào khớp.

Quên gọi next()

Một middleware không gửi response mà cũng không gọi next() sẽ để request bị treo. Client chờ đến khi hết thời gian, và log không có gì, nên đây là một bug middleware rất hay gặp. Xóa next(); khỏi logger ở trên rồi gửi lại GET /: request không bao giờ nhận được câu trả lời.

Quy tắc rất đơn giản: mọi nhánh đi qua một middleware đều kết thúc bằng đúng một trong những cách sau:

• next() để đi tiếp,
• next(err) để nhảy đến error handler (xem xử lý lỗi trong Express),
• một response như res.json() hoặc res.status(401).send().

Gọi next() sau khi đã gửi response cũng là bug. Handler tiếp theo sẽ cố gửi response thứ hai và Express ném ra ERR_HTTP_HEADERS_SENT. Hãy viết return res.status(401).json(...) để hàm dừng ngay tại đó.

Middleware kiểm tra quyền chặn request

Middleware từ chối một request sẽ tự gửi response và không bao giờ gọi next(). Truyền nó làm đối số bổ sung cho một route để chỉ bảo vệ route đó:

const express = require('express');
const app = express();

function requireApiKey(req, res, next) {
    if (req.get('x-api-key') !== 'secret123') {
        return res.status(401).json({ error: 'Missing or wrong API key' });
    }
    req.client = 'reporting-app';
    next();
}

app.get('/public', (req, res) => {
    res.json({ message: 'Anyone can read this' });
});

app.get('/admin/stats', requireApiKey, (req, res) => {
    res.json({ users: 42, caller: req.client });
});

// GET /admin/stats
app.listen(3000);

Request đầu tiên nhận 401 với {"error":"Missing or wrong API key"}. Thêm header x-api-key: secret123 vào thanh request rồi gửi lại: lần này câu trả lời là {"users":42,"caller":"reporting-app"}. /public không bao giờ chạy bước kiểm tra này.

Middleware chạy ở đâu

Thứ tự là một phần của ý nghĩa. Một logger đăng ký sau các route sẽ không bao giờ ghi log những request mà các route đó đã trả lời, vì route gửi response thì không gọi next(). Hãy đăng ký middleware dùng cho cả app như ghi log, parse body và CORS trước, rồi đến các route, cuối cùng là handler 404 và error handler.

Middleware có sẵn

Express kèm theo vài hàm middleware mà bạn thêm bằng app.use(). Các body parser điền giá trị cho req.body; nếu không có chúng, req.body là undefined.

const express = require('express');
const app = express();

app.use(express.json());
app.use(express.urlencoded());

app.get('/', (req, res) => {
    res.send('Send POST /echo with a body');
});

app.post('/echo', (req, res) => {
    res.json({ type: req.get('content-type'), body: req.body });
});

app.listen(3000);

Gửi POST /echo với body {"name": "Ada"} thì câu trả lời có "body":{"name":"Ada"}. Xóa dòng express.json(), gửi lại, và body biến mất khỏi câu trả lời: req.body là undefined, và JSON.stringify bỏ qua các giá trị undefined. Các package như cors, helmet và morgan cũng là middleware: bạn npm install chúng rồi truyền vào app.use() theo cùng cách. Trang express.static hướng dẫn phục vụ tệp.

Lỗi thường gặp

Gọi middleware thay vì truyền nó vào. app.use(logger()) chạy logger một lần lúc khởi động và đăng ký giá trị trả về của nó. Hãy viết app.use(logger). (express.json() có cặp ngoặc vì nó trả về một hàm middleware.)

Thêm body parser sau các route. Các route chạy trước và thấy req.body là undefined.

Tưởng app.use('/admin', fn) chỉ khớp một đường dẫn. Nó còn chạy cho /admin/users và mọi đường dẫn khác nằm dưới /admin, với mọi phương thức. Để bảo vệ một route duy nhất, hãy truyền middleware vào app.get('/admin', fn, handler).