Bila diibaratkan, middleware adalah jantung dari Express. Dalam alur kerjanya, middleware merupakan fungsi berantai yang bertugas memproses request sebelum akhirnya mencapai route handler atau mengirimkan response.

Setiap middleware selalu menerima tiga argumen utama, yaitu req (request), res (response), dan next. Fungsi ini memiliki kebebasan untuk membaca atau mengubah objek req dan res. Setelah selesai melakukan tugasnya, middleware memiliki dua pilihan: mengakhiri siklus dengan mengirimkan respons ke klien, atau memanggil fungsi next() untuk meneruskan kendali ke middleware berikutnya di dalam antrean.

Aturan Penting Middleware

Ada beberapa hal krusial yang perlu kamu ingat saat bekerja dengan middleware:

• Urutan itu penting: Middleware dieksekusi secara berurutan sesuai dengan kapan mereka didaftarkan menggunakan app.use(). Middleware yang didaftarkan lebih dulu akan dijalankan lebih dulu.
• Wajib memanggil next(): Jika sebuah middleware tidak mengirimkan respons (misalnya res.send()), ia wajib memanggil next(). Bila kamu lupa memanggil next(), request tersebut akan menggantung (hang) dan klien tidak akan pernah menerima balasan.
• Menangani error: Jika terjadi kesalahan, kamu bisa memanggil next(err) dengan menyertakan argumen error. Ini akan membuat Express melompat langsung ke error handler, melewati middleware reguler lainnya.

Mari kita lihat contoh kode pembuatan middleware kustom untuk pencatatan log (logger):

const logger = (req, res, next) => {
  const start = Date.now();
  res.on('finish', () => {
    const ms = Date.now() - start;
    console.log(req.method, req.url, res.statusCode, ms + 'ms');
  });
  next(); // lanjut ke middleware berikutnya
};

app.use(logger);

Pada kode di atas, kita mencatat waktu mulai saat request datang. Kita lalu mendengarkan event finish pada response untuk menghitung durasi total. Jangan lupa, di akhir fungsi kita memanggil next() agar alur berlanjut.

Express mengkategorikan middleware menjadi lima jenis berdasarkan cara penggunaannya:

1. Application-level: Didaftarkan pada instance aplikasi menggunakan app.use(fn). Ini berlaku untuk seluruh aplikasi atau path tertentu.
2. Router-level: Mirip dengan application-level, tetapi didaftarkan pada instance router menggunakan router.use(fn). Ini hanya berlaku untuk route di dalam router tersebut.
3. Error-handling: Middleware khusus yang memiliki tepat empat argumen, yaitu (err, req, res, next). Fungsinya untuk menangani semua error yang terjadi di aplikasi.
4. Built-in: Middleware bawaan yang sudah disediakan oleh Express, seperti express.json(), express.urlencoded(), express.static(), express.raw(), dan express.text().
5. Third-party: Middleware dari paket npm eksternal yang dipasang terpisah. Contohnya adalah helmet, cors, morgan, dan multer.

Express datang dengan beberapa middleware bawaan yang sangat berguna untuk mengolah body dari request dan menyajikan file statis.

Parsing Body Request

Untuk membaca data yang dikirimkan oleh klien di dalam body request, kamu harus memasang middleware parser yang sesuai:

• express.json(): Digunakan untuk mem-parsing body dalam format JSON dan memasukkannya ke req.body. Kamu bisa membatasi ukurannya, misalnya { limit: '1mb' }.
• express.urlencoded(): Digunakan untuk mem-parsing data dari form HTML reguler ke req.body. Di Express v5, opsi extended secara default bernilai false.
• express.text() dan express.raw(): Digunakan untuk membaca body sebagai string biasa atau Buffer.

Melayani File Statis

Kamu bisa menyajikan file statis (HTML, CSS, JS, gambar) secara langsung menggunakan express.static(). File dengan awalan titik (dotfiles) akan diabaikan secara otomatis.

Kamu juga bisa memberikan prefix virtual atau jalur buatan pada URL, serta mengatur konfigurasi cache browser.

// File statis dari folder public
app.use(express.static('public', {
  maxAge: '1d', // cache browser
}));

// Prefix virtual
app.use('/assets', express.static('uploads'));

Dalam membangun API web modern, kamu sering kali harus berurusan dengan cookie dan pembatasan domain (CORS). Express menggunakan middleware pihak ketiga untuk hal ini.

Cookie Parser

Untuk membaca cookie dari klien, gunakan paket cookie-parser. Middleware ini akan mem-parsing header cookie dan mengisi properti req.cookies serta req.signedCookies.

Saat mengirim respons, kamu bisa mengatur cookie baru dengan res.cookie(). Selalu perhatikan aspek keamanan. Opsi httpOnly: true mencegah JavaScript di browser membaca cookie, yang berguna untuk memitigasi serangan XSS. Opsi secure: true memaksa cookie hanya dikirim lewat koneksi HTTPS, sedangkan sameSite: 'lax' membantu mitigasi serangan CSRF.

CORS (Cross-Origin Resource Sharing)

Browser memblokir permintaan API ke domain yang berbeda demi keamanan. Middleware cors() memberikan izin browser untuk memanggil API dari origin lain.

Jika API-mu menggunakan sistem autentikasi berbasis cookie, kamu harus mengaktifkan credentials: true. Perlu dicatat, bila kamu memakai credentials: true, kamu tidak boleh menggunakan origin: '*' (izinkan semua); kamu harus secara spesifik menyebutkan origin mana saja yang diizinkan. Middleware ini juga otomatis menangani request Preflight, yaitu saat browser mengirimkan metode OPTIONS terlebih dahulu sebelum request utama.

import cookieParser from 'cookie-parser';
import cors from 'cors';

app.use(cookieParser(process.env.COOKIE_SECRET));

app.use(cors({
  origin: ['http://localhost:5173', '[https://app.contoh.id](https://app.contoh.id)'],
  credentials: true, // izinkan cookie lintas origin
}));

Untuk menerima file yang diunggah oleh pengguna (misalnya gambar profil atau dokumen), kita memakai middleware pihak ketiga bernama Multer.

Multer bekerja dengan memproses form dengan tipe multipart/form-data. Kamu bisa mengonfigurasi multer.diskStorage untuk menentukan di mana file akan disimpan (destination) dan bagaimana file tersebut akan dinamai (filename). Sangat disarankan untuk mengubah nama file menggunakan sesuatu yang unik, seperti crypto.randomUUID(), untuk menghindari bentrokan nama.

Multer juga dilengkapi fitur keamanan seperti pembatasan ukuran file (limits: { fileSize: ... }) dan filter tipe file (fileFilter) untuk memastikan pengguna hanya mengunggah format yang diperbolehkan.

import multer from 'multer';
import path from 'node:path';
import crypto from 'node:crypto';

const storage = multer.diskStorage({
  destination: 'uploads/',
  filename: (req, file, cb) => {
    const ext = path.extname(file.originalname);
    cb(null, crypto.randomUUID() + ext);
  }
});

export const upload = multer({
  storage,
  limits: { fileSize: 2 * 1024 * 1024 }, // 2MB
  fileFilter: (req, file, cb) => {
    const ok = ['image/png', 'image/jpeg'].includes(file.mimetype);
    cb(null, ok);
  }
});

Setelah dikonfigurasi, kamu bisa menyisipkan middleware Multer ke route tertentu. Gunakan upload.single('namaField') untuk menerima satu file, yang nanti akan ditaruh di req.file. Jika mengunggah banyak file, gunakan upload.array('namaField', batasMaks) yang mengisi req.files, atau upload.fields([...]) bila file dikirim dari field yang berbeda-beda.