17370845950

本文介绍如何在 react router v6 中通过自定义路由守卫组件，统一实现“已登录用户禁止访问登录/注册页”和“未登录用户禁止访问私有页面”的双向权限控制，避免重复逻辑、提升可维护性。

在现代 React 应用中，仅靠单向的 PrivateRoute（即“未登录则跳转登录页”）不足以满足完整的权限流需求。真实场景中，我们同样需要防止已登录用户意外或恶意返回 /login、/register、/forgotpassword 等身份初始化页面——这不仅影响用户体验，还可能引发状态冲突（如重复登录、覆盖本地缓存等）。

最佳实践是遵循 关注点分离（Separation of Concerns） 原则，为两类场景分别设计语义清晰的守卫组件：

• PrivateRoute：保护需认证的路由（只有登录用户才能进入）；
• AnonymousRoute：保护需匿名的路由（仅允许未登录用户访问）。

✅ 推荐实现：双守卫组件 + Outlet 模式

// guards.tsx
import { Navigate, Outlet } from 'react-router-dom';

export function PrivateRoute() {
  const user = JSON.parse(localStorage.getItem('user') || 'null');
  return user ?  : ;
}

export function AnonymousRoute() {
  const user = JSON.parse(localStorage.getItem('user') || 'null');
  return user ?  : ;
}

配合 React Router v6 的嵌套路由结构，配置更简洁、语义更明确：

// App.tsx
import { BrowserRouter, Routes, Route } from 'react-router-dom';
import { PrivateRoute, AnonymousRoute } from './guards';
import MenuBar from './components/MenuBar';
import Dashboard from './pages/Dashboard';
import Profile from './pages/Profile';
import LoginUser from './pages/LoginUser';
import RegisterUser from './pages/RegisterUser';
import ForgotPassword from './pages/ForgotPassword';

function App() {
  return (
    
      
      
        {/* 已登录才可访问的页面 */}
        }>
          } />
          } />
        

        {/* 仅未登录用户可访问的页面 */}
        
          } />
          } />
          } />
        

        {/* 可选：404 路由应放在最后 */}
        
      
    
  );
}

export default App;

⚠️ 注意事项与增强建议

• 安全提示：localStorage 仅适用于前端展示层判断，绝不能替代服务端鉴权。所有敏感接口必须由后端校验 JWT 或 Session 状态。
• 状态同步优化：建议将用户状态抽离为 Context 或使用 useAuth 自定义 Hook，避免多处重复解析 localStorage；同时监听 storage 事件，实现跨标签页登出同步。
• 类型安全：为 user 添加 TypeScript 类型（如 interface User { id: string; email: string; token: string; }），避免 JSON.parse 后的 any 类型风险。
• 空值容错：示例中使用 || 'null' 防止 getItem 返回 null 导致 JSON.parse(null) 报错，生产环境建议进一步封装 getStoredUser() 工具函数。

? 替代方案：单组件双模式（不推荐但可行）

若因历史原因必须复用单一组件，可扩展为带条件参数的 ProtectedRoute：

interface ProtectedRouteProps {
  isAuth?: boolean; // true → 私有路由；false 或 undefined → 匿名路由
  target: string;   // 重定向目标路径
}

export function ProtectedRoute({ isAuth = true, target }: ProtectedRouteProps) {
  const user = JSON.parse(localStorage.getItem('user') || 'null');

  if (isAuth) {
    return user ?  : ;
  }
  return user ?  : ;
}

使用方式：

}>...
}>...

但该设计违反单一职责原则，可读性与可测试性下降，仅建议临时过渡使用。

✅ 总结

• ✅ 使用 PrivateRoute + AnonymousRoute 是最清晰、可扩展、易测试的路由守卫方案；
• ✅ 基于 的嵌套路由结构让权限逻辑与页面结构解耦；
• ✅ 所有重定向均添加 replace: true，避免用户无法通过浏览器“后退”返回非法页面；
• ✅ 记住：前端路由守卫是用户体验层防护，真正的安全边界永远在服务端。

通过以上设计，你既能复用核心鉴权逻辑，又能保持路由配置的高内聚与低耦合，为后续接入 OAuth、角色权限（RBAC）或动态路由打下坚实基础。