创建一条规则，只允许来自数据库的在线用户

要创建一条规则，只允许来自数据库的在线用户，我们需要考虑以下几个方面：

基础概念

用户认证：验证用户的身份。
数据库：存储用户信息的系统。
在线状态：用户当前是否处于登录状态。

类型

基于会话的认证：使用会话ID来跟踪用户状态。
基于令牌的认证：如JWT（JSON Web Tokens），用于无状态的认证机制。

应用场景

Web应用程序：保护敏感页面或功能。
移动应用：确保用户数据的实时性和安全性。
API服务：限制对API端点的访问。

实现步骤

用户登录：用户通过用户名和密码登录。
生成令牌：服务器验证用户信息后，生成一个令牌（如JWT）。
存储令牌：客户端（浏览器或移动应用）存储令牌。
验证令牌：每次请求时，客户端发送令牌，服务器验证令牌的有效性及用户的在线状态。

示例代码（Node.js + Express）

const express = require('express');
const jwt = require('jsonwebtoken');
const app = express();

// 假设我们有一个数据库模型来检查用户在线状态
const User = require('./models/User');

app.use(express.json());

// 登录端点
app.post('/login', async (req, res) => {
    const { username, password } = req.body;
    // 验证用户名和密码
    const user = await User.findOne({ username, password });
    if (user && user.online) {
        const token = jwt.sign({ userId: user._id }, 'secret_key', { expiresIn: '1h' });
        res.json({ token });
    } else {
        res.status(401).json({ message: 'Invalid credentials or user not online' });
    }
});

// 受保护的端点
app.get('/protected', verifyToken, (req, res) => {
    jwt.verify(req.token, 'secret_key', async (err, authData) => {
        if (err) {
            res.sendStatus(403);
        } else {
            const user = await User.findById(authData.userId);
            if (user && user.online) {
                res.json({ message: 'Access granted', user });
            } else {
                res.status(403).json({ message: 'User not online' });
            }
        }
    });
});

// 中间件：验证令牌
function verifyToken(req, res, next) {
    const bearerHeader = req.headers['authorization'];
    if (typeof bearerHeader !== 'undefined') {
        const bearerToken = bearerHeader.split(' ')[1];
        req.token = bearerToken;
        next();
    } else {
        res.sendStatus(403);
    }
}

app.listen(3000, () => console.log('Server running on port 3000'));