node.js - 对 http 动词的 Mongoose/Express 授权

Question

我有一个在 mongoose 和 express 上运行的 node.js REST 服务。我也在使用 merse 来设置我的路由。

我现在想实现的是以下几种场景:

Scenario I: e.g. blogpost
- GET -> no authentication required
- POST/PUT/DELETE -> authentication required

Scenario II: e.g. user
- GET -> authentication required
- POST/PUT/DELETE -> authentication required plus username of logged in user has to match

我已经看过 everyauth 和 mongoose-auth，但找不到任何可以给我这种控制的东西。

Answer 1

忘掉everyauth。恕我直言，这个图书馆有点矫枉过正。实现身份验证其实很简单，遵循模式:

1. 用户将用户名和密码传递给服务器；
2. 服务器获取用户名 和密码 并在数据库中检查是否有使用该密码 的用户。如果没有用户，只响应一个错误；
3. 我们有一个用户，现在使用 Express 内置的 session 机制。调用 req.session.regenerate 并在回调中执行 req.session.userID = user.id。 Express会自动将cookie发送给用户；
4. 创建一个中间件(必须在任何其他请求处理程序之前 触发)，它主要是在数据库中搜索req.session.userID。如果它找到一个，则将其存储在 req 中，即 req.user = user;
5. 在 View 中，您只需检查是否设置了req.user 变量。如果是，那么我们就通过了身份验证。大功告成!

ad 1+2) 为了使身份验证安全，您应该使用一些加密技术(和/或 HTTPS)。例如，密码应该在数据库中分为两部分:salt 和hash。 salt 是随机生成的(在注册时)和 hash = hash_it(pwd, salt)，其中 hash_it 是一些哈希算法(对于例如:MD5 或 SHA256)。

现在可以通过几个步骤进行客户端身份验证(前提是您可以使用 JavaScript):

1. 服务器发送随机new_salt到登录页面(或者用JavaScript生成一个，不需要隐藏生成算法)；
2. 用户发送 AJAX 请求give me salt for user X 并且服务器响应存储在数据库中的salt(salt 是公开的)；
3. 在响应中用salt对pwd进行哈希处理，然后用new_salt再次对结果进行哈希处理，将其存储在变量hpwd中>;
4. 客户端向服务器发送用户名、hpwd和new_salt；
5. 服务器从数据库获取 用户名 的 pwd，用 new_salt 散列 pwd 并将结果与​​ 进行比较>hpwd(注意:您不存储 new_salt)。

这种方法很好，因为每次登录时都会随机(从外部角度来看)数据流经网络，即使 username 和 password是一样的。

这很重要，因为 password 泄漏是一件很严重的事情。不是因为有人可以破坏您应用程序的帐户(这是轻微的损害，除非您是银行 - 但您不会问这样的问题 :D )。主要是因为人们倾向于对多个站点使用相同的密码，包括银行帐户。