Protected route: ทำใน index.js เดิมทีละขั้น

Mission นี้ต่อจาก books-api ที่ทำมาแล้ว จึงใช้ไฟล์เดียวคือ index.js เหมือน Chapter 3 และ 4 ไม่ต้องสร้าง middleware/ หรือ booksRouter ใหม่

flowchart LR
  A["DELETE /books/7\n+ Bearer token"] --> B{"token ถูกไหม?"}
  B -->|"ไม่"| C["401 Unauthorized"]
  B -->|"ใช่"| D["jwt.verify → req.user.userId"]
  D --> E{"book.user_id ตรงกันไหม?"}
  E -->|"ไม่"| F["404 ไม่ลบ"]
  E -->|"ใช่"| G["DELETE + RETURNING *"]

ก่อนเริ่ม ต้องมีของนี้แล้ว

Step 1: ตรวจ imports ที่บนสุดของ index.js

ไม่ต้อง import ซ้ำ ถ้ามีอยู่แล้วให้ข้าม:

import "dotenv/config";
import express from "express";
import jwt from "jsonwebtoken";
import { pool } from "./db.js";

Step 2: วาง verifyToken ใน index.js

วาง function นี้ หลัง app.use(express.json()) และ ก่อน route /books ทั้งหมด:

function verifyToken(req, res, next) {
  const header = req.headers.authorization;
  const token = header?.startsWith("Bearer ")
    ? header.split(" ")[1]
    : null;

  if (!token) {
    return res.status(401).json({ message: "Token required" });
  }

  try {
    req.user = jwt.verify(token, process.env.JWT_SECRET);
    next();
  } catch {
    return res.status(401).json({ message: "Invalid token" });
  }
}

verifyToken ทำอะไร

Authorization header → token → jwt.verify → req.user → next()

• header ไม่มี/พิมพ์ Bearer ผิด → หยุดที่ 401 Token required
• token ปลอม หรือ Secret ไม่ตรง → หยุดที่ 401 Invalid token
• token ถูก → ได้ req.user.userId แล้ว Request จึงไป route ถัดไป

Step 3: แทนที่ DELETE route เดิม

หา app.delete("/books/:id", ...) ตัวเดิมที่ยังใช้ readBooks() และ writeBooks() แล้ว แทนที่ทั้งก้อน ด้วยโค้ดนี้:

app.delete("/books/:id", verifyToken, async (req, res) => {
  try {
    const result = await pool.query(
      `DELETE FROM books
       WHERE id = $1 AND user_id = $2
       RETURNING *`,
      [req.params.id, req.user.userId]
    );

    if (result.rows.length === 0) {
      return res.status(404).json({ message: "Book not found" });
    }

    res.json({ message: "ลบสำเร็จ", book: result.rows[0] });
  } catch (error) {
    console.error(error);
    res.status(500).json({ error: "Database query failed" });
  }
});

อ่าน route นี้ทีละส่วน

Step 4: เตรียม book สำหรับทดสอบ

หลัง Register ให้เปิด pgAdmin Query Tool และดู id ของ user:

SELECT id, email FROM users;

สร้างหนังสือที่มีเจ้าของ (เปลี่ยน 1 เป็น id ของ user ที่ Login):

INSERT INTO books (title, author, year, user_id)
VALUES ('Book for token test', 'Student', 2026, 1)
RETURNING *;

จด id ของ book ที่เพิ่งสร้างไว้ เช่น 7

Step 5: ทดสอบใน Postman

1. POST /auth/login แล้ว copy ค่า token จาก Response
2. สร้าง Request ใหม่: DELETE http://localhost:3000/books/7
3. ไปที่แท็บ Headers เพิ่ม:

Key:   Authorization
Value: Bearer วาง-token-ที่-copy-มา

4. กด Send

จำก่อนเปลี่ยนบท

Authentication บอกว่า “คุณคือใคร”; Authorization บอกว่า “รายการนี้เป็นของคุณหรือไม่”