Блог: роли и права (RBAC)

const app = express();
app.use(express.json());

// Команда блога StudyCode. У каждого — роль: 'reader' | 'author' | 'admin'
let users = [
  { id: 1, name: 'Регина', role: 'reader' },
  { id: 2, name: 'Антон',  role: 'author' },
  { id: 3, name: 'Марина', role: 'author' },
  { id: 4, name: 'Давид',  role: 'admin'  },
];

// Вход ты уже строил в проекте Auth — здесь сессии выданы заранее
let sessions = {
  tok_reader01: 1,   // Регина
  tok_avtor01: 2,    // Антон
  tok_avtor02: 3,    // Марина
  tok_admin01: 4,    // Давид
};

let posts = [
  { id: 1, title: 'Добро пожаловать в блог', text: 'Первый пост команды StudyCode.', status: 'published', authorId: 2 },
  { id: 2, title: 'Черновик про Docker',     text: 'Пока только план...',            status: 'draft',     authorId: 2 },
];
let nextPostId = 3;

let comments = [
  { id: 1, postId: 1, userId: 1, text: 'Отличный пост!', hidden: false },
];
let nextCommentId = 2;

// Знакомый охранник из проекта Auth — уже готов, писать заново не нужно
function auth(req, res, next) {
  const header = req.headers.authorization;   // Express: имена заголовков — lowercase
  if (!header || !header.startsWith('Bearer ')) {
    return res.status(401).json({ error: 'Нужен токен' });
  }
  const token = header.slice(7);
  if (sessions[token] === undefined) {
    return res.status(401).json({ error: 'Неверный токен' });
  }
  req.user = users.find(u => u.id === sessions[token]);
  next();
}

// Мягкое опознание для ПУБЛИЧНЫХ маршрутов: вернёт пользователя или null.
// В отличие от auth не отвечает 401 — аноним тоже имеет право смотреть ленту.
function getUser(req) {
  const header = req.headers.authorization;
  if (!header || !header.startsWith('Bearer ')) return null;
  const id = sessions[header.slice(7)];
  if (id === undefined) return null;
  return users.find(u => u.id === id) || null;
}

// Дальше здесь появятся:
// GET    /api/posts                 — лента с учётом роли
// function requireRole(...roles)    — фабрика middleware
// POST   /api/posts                 — создать черновик (author, admin)
// PATCH  /api/posts/:id             — редактирование с проверкой владельца
// PATCH  /api/posts/:id/publish     — публикация
// GET/POST /api/posts/:id/comments  — комментарии
// PATCH  /api/comments/:id/hide     — модерация (admin)
// GET    /api/admin/stats           — админ-панель

app.listen(3000, () => console.log('✅ http://localhost:3000'));