- mongodb - 在 MongoDB mapreduce 中,如何展平值对象?
- javascript - 对象传播与 Object.assign
- html - 输入类型 ="submit"Vs 按钮标签它们可以互换吗?
- sql - 使用 MongoDB 而不是 MS SQL Server 的优缺点
我已尝试阅读尽可能多的不同答案和帖子,但我仍然不能完全确定适合我需要的解决方案。我正在尝试找出处理用户身份验证、登录等的最佳(最有效,但大多更安全)的方法。
我有一个 Node.js 服务器,在 Express 上运行;我有一个 Angular.js 网络应用程序;我有一个 iOS 应用程序。我使用 Express/Node.js 公开了一个 RESTful API。
cookies
我读到的第一件事是使用 cookie,并在服务器端(散列)和客户端(未散列)存储 session ID/登录 token 。客户端将在每个请求中传输此 ID,服务器将对其进行哈希处理、解析并相应地处理请求。这感觉不是 RESTful(不是一个大问题),但更重要的是,我是否必须复制我的 API:一个用于用户名/密码身份验证(例如通过 curl 完成),另一个用于基于 cookie 的身份验证(例如我的网络应用程序)?
另一个问题:如果我有来自一个用户的多个连接,我会怎么做,例如他们在两个浏览器中登录,一个 iPhone 和一个 iPad。我存储的他们的 session ID 现在需要成为一个数组吗?
HTTP 基本身份验证
下一个想法是使用 HTTP Basic Auth(使用 SSL),这看起来很简单,但不推荐使用,因为您需要在每个请求中传输用户名和密码。如果我要使用 HTTP 基本身份验证,我是否会将用户名和密码存储在 cookie(或 HTML 本地存储)中以允许“记住我”功能?或者我可以将两者结合起来:对实际请求使用 HTTP Basic Auth(发布新帖子等),并且只使用存储在 cookie 中的 session id 来按顺序进行初始登录/记住我的方面?
传输 session ID 是否比仅传输用户密码更安全?如何?
session ID 表面上将充当密码,因此对我而言,传输它与传输密码具有相同的安全问题。
所有平台似乎都支持基本身份验证,这是理想的。主要的缺点似乎是需要在每个请求中传输客户端身份验证数据。有没有办法缓解这个问题?
身份验证
OAuth 对于我的需求来说似乎有点过分了。我想我会失去执行 curl 命令来测试我的 API 的能力。 OAuth 如何改进 cookie 方法?
正如您可能会说的那样,我对可用的各种信息感到有些困惑,因此,如果您有一组好的链接(适用于这种情况),我很乐意阅读它们。我正在尝试找到适合所有平台的解决方案,但仍然尽可能安全。另外,如果我的任何术语有误,请纠正我,因为这将使我更容易搜索。
谢谢。
更新:
我一直在思考这个问题,我有了一个想法。请告诉我这是否是愚蠢/不安全/任何反馈,因为我不确定它是否好。
当用户登录时,我们会生成一个随机 session id(salted 等)。这个可选的 session id 被发送到客户端,如果他们选择,客户端可以存储(例如在 cookie 中); session ID 存储在数据库中。
然后这个 session id 可以选择作为 HTTP 身份验证 header 或查询字符串随每个请求发送 ,或者客户端可以根据需要发送用户名和密码(这为我们提供了常规的 REST API)。在服务器端,我们首先检查 session id 参数,如果不存在,我们检查用户名/密码。如果两者都不存在——错误。
在服务器上,我们检查 session ID 是否与正确的用户名相关联。如果是,我们完成请求。
每次用户登录时,我们都会创建一个新的 session ID 或删除当前的 session ID,并将其与登录请求的响应一起发送。
我认为这让我可以在适当的情况下使用常规 REST API 和基本身份验证,并维护 session /记住我的功能。它不能解决多次登录问题,但否则我认为这种方式应该可以。请告诉我。
最佳答案
我会使用基于 token 的身份验证,您可以在每个请求中(自动)发送一个 token 。您必须登录一次,服务器将为您提供一个 token ,然后您可以使用该 token 与每个请求一起发送。该标记将被添加到 HTML header 中,这样您就不必修改对浏览器的每个请求。
您可以在 API 中设置某些调用,以便它们始终需要 token ,而其他调用可能不受 token 保护。
对于 Express,您可以使用 express-jwt ( https://www.npmjs.org/package/express-jwt )
var expressJwt = require('express-jwt');
// Protect the /api routes with JWT
app.use('/api', expressJwt({secret: secret}));
app.use(express.json());
app.use(express.urlencoded());
app.post('/authenticate', function (req, res) {
//if is invalid, return 401
if (!(req.body.username === 'john.doe' && req.body.password === 'foobar')) {
res.send(401, 'Wrong user or password');
return;
}
var profile = {
first_name: 'John',
last_name: 'Doe',
email: 'john@doe.com',
id: 123
};
// We are sending the profile inside the token
var token = jwt.sign(profile, secret, { expiresInMinutes: 60*5 });
res.json({ token: token });
});
app.get('/api/restricted', function (req, res) {
console.log('user ' + req.user.email + ' is calling /api/restricted');
res.json({
name: 'foo'
});
});
$http
.post('/authenticate', $scope.user)
.success(function (data, status, headers, config) {
$window.sessionStorage.token = data.token;
$scope.message = 'Welcome';
})
.error(function (data, status, headers, config) {
// Erase the token if the user fails to log in
delete $window.sessionStorage.token;
// Handle login errors here
$scope.message = 'Error: Invalid user or password';
});
myApp.factory('authInterceptor', function ($rootScope, $q, $window) {
return {
request: function (config) {
config.headers = config.headers || {};
if ($window.sessionStorage.token) {
config.headers.Authorization = 'Bearer ' + $window.sessionStorage.token;
}
return config;
},
response: function (response) {
if (response.status === 401) {
// handle the case where the user is not authenticated
}
return response || $q.when(response);
}
};
});
myApp.config(function ($httpProvider) {
$httpProvider.interceptors.push('authInterceptor');
});
$window.sessionStorage
使用 AmplifyJS (
http://amplifyjs.com/) 之类的库。例如,Amplify 使用任何可用的本地存储。这将翻译成这样:
if (data.status === 'OK') {
//Save the data using Amplify.js
localStorage.save('sessionToken', data.token);
//This doesn't work on the file protocol or on some older browsers
//$window.sessionStorage.token = data.token;
$location.path('/pep');
}
}).error(function (error) {
// Erase the token if the user fails to log in
localStorage.save('sessionToken', null);
// Handle login errors here
$scope.message = 'Error: Invalid user or password';
});
angular.module('myApp.authInterceptor', ['myApp.localStorage']).factory('authInterceptor', [
'$rootScope',
'$q',
'localStorage',
function ($rootScope, $q, localStorage) {
return {
request: function (config) {
config.headers = config.headers || {};
config.headers.Authorization = 'Bearer ' + localStorage.retrieve('sessionToken');
return config;
},
response: function (response) {
if (response.status === 401) {
}
return response || $q.when(response);
}
};
}
]);
关于ios - 使用 Angular.js 和 iOS 客户端对 Node.js 应用程序进行身份验证,我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/21300543/
我喜欢 smartcase,也喜欢 * 和 # 搜索命令。但我更希望 * 和 # 搜索命令区分大小写,而/和 ?搜索命令遵循 smartcase 启发式。 是否有隐藏在某个地方我还没有找到的设置?我宁
关闭。这个问题是off-topic .它目前不接受答案。 想改进这个问题? Update the question所以它是on-topic对于堆栈溢出。 10年前关闭。 Improve this qu
从以下网站,我找到了执行java AD身份验证的代码。 http://java2db.com/jndi-ldap-programming/solution-to-sslhandshakeexcepti
似乎 melt 会使用 id 列和堆叠的测量变量 reshape 您的数据框,然后通过转换让您执行聚合。 ddply,从 plyr 包看起来非常相似..你给它一个数据框,几个用于分组的列变量和一个聚合
我的问题是关于 memcached。 Facebook 使用 memcached 作为其结构化数据的缓存,以减少用户的延迟。他们在 Linux 上使用 UDP 优化了 memcached 的性能。 h
在 Camel route ,我正在使用 exec 组件通过 grep 进行 curl ,但使用 ${HOSTNAME} 的 grep 无法正常工作,下面是我的 Camel 路线。请在这方面寻求帮助。
我正在尝试执行相当复杂的查询,在其中我可以排除与特定条件集匹配的项目。这是一个 super 简化的模型来解释我的困境: class Thing(models.Model) user = mod
我正在尝试执行相当复杂的查询,我可以在其中排除符合特定条件集的项目。这里有一个 super 简化的模型来解释我的困境: class Thing(models.Model) user = mod
我发现了很多嵌入/内容项目的旧方法,并且我遵循了在这里找到的最新方法(我假设):https://blog.angular-university.io/angular-ng-content/ 我正在尝试
我正在寻找如何使用 fastify-nextjs 启动 fastify-cli 的建议 我曾尝试将代码简单地添加到建议的位置,但它不起作用。 'use strict' const path = req
我正在尝试将振幅 js 与 React 和 Gatsby 集成。做 gatsby developer 时一切看起来都不错,因为它发生在浏览器中,但是当我尝试 gatsby build 时,我收到以下错
我试图避免过度执行空值检查,但同时我想在需要使代码健壮的时候进行空值检查。但有时我觉得它开始变得如此防御,因为我没有实现 API。然后我避免了一些空检查,但是当我开始单元测试时,它开始总是等待运行时异
尝试进行包含一些 NOT 的 Kibana 搜索,但获得包含 NOT 的结果,因此猜测我的语法不正确: "chocolate" AND "milk" AND NOT "cow" AND NOT "tr
我正在使用开源代码共享包在 iOS 中进行 facebook 集成,但收到错误“FT_Load_Glyph failed: glyph 65535: error 6”。我在另一台 mac 机器上尝试了
我正在尝试估计一个标准的 tobit 模型,该模型被审查为零。 变量是 因变量 : 幸福 自变量 : 城市(芝加哥,纽约), 性别(男,女), 就业(0=失业,1=就业), 工作类型(失业,蓝色,白色
我有一个像这样的项目布局 样本/ 一种/ 源/ 主要的/ java / java 资源/ .jpg 乙/ 源/ 主要的/ java / B.java 资源/ B.jpg 构建.gradle 设置.gr
如何循环遍历数组中的多个属性以及如何使用map函数将数组中的多个属性显示到网页 import React, { Component } from 'react'; import './App.css'
我有一个 JavaScript 函数,它进行 AJAX 调用以返回一些数据,该调用是在选择列表更改事件上触发的。 我尝试了多种方法来在等待时显示加载程序,因为它当前暂停了选择列表,从客户的 Angul
可能以前问过,但找不到。 我正在用以下形式写很多语句: if (bar.getFoo() != null) { this.foo = bar.getFoo(); } 我想到了三元运算符,但我认
我有一个表单,在将其发送到 PHP 之前我正在执行一些验证 JavaScript,验证后的 JavaScript 函数会发布用户在 中输入的文本。页面底部的标签;然而,此消息显示短暂,然后消失...
我是一名优秀的程序员,十分优秀!