node.js - 如何正确使用passport.js

Question

我正在尝试 Passport 库来验证 API 请求。首先，我使用 Express 框架创建了一个 NodeJS 应用程序。该项目包含一些提供某些数据的 api。在公共(public)文件夹中，它包含具有用户名和密码字段的index.html页面。

Index.html

<form action="/login" method="post">
    <div>
        <label>Username:</label>
        <input type="text" name="name"/>
    </div>
    <div>
        <label>Password:</label>
        <input type="password" name="password"/>
    </div>
    <div>
        <input type="submit" value="Log In"/>
    </div>
</form>

创建了一个server.ts，用于创建一个http服务器并监听某个端口，并使用express框架创建api。

Server.ts

let userList: User[] = [new User(1, "Sunil"), new User(2, "Sukhi")];

let app = express();

// passport library
let passport = require('passport');
let LocalStrategy = require('passport-local').Strategy;

// middlewares
app.use(express.static("public"));
app.use(bodyParser.json());
app.use(bodyParser.urlencoded({ extended: false }));
app.use(session({ resave: false, saveUninitialized: true, secret: "secretKey123!!" }));

// passport middleware invoked on every request to ensure session contains passport.user object
app.use(passport.initialize());
// load seriliazed session user object to req.user 
app.use(passport.session());

// Only during the authentication to specify what user information should be stored in the session.
passport.serializeUser(function (user, done) {
    console.log("Serializer : ", user)
    done(null, user.userId);
});

// Invoked on every request by passport.session
passport.deserializeUser(function (userId, done) {
        let user = userList.filter(user => userId === user.userId);
        console.log("D-serializer : ", user);
        // only pass if user exist in the session
        if (user.length) {
            done(null, user[0]);
        }
});
// passport strategy : Only invoked on the route which uses the passport.authenticate middleware.
passport.use(new LocalStrategy({
    usernameField: 'name',
    passwordField: 'password'
},
    function (username, password, done) {
        console.log("Strategy : Authenticating if user is valid  :", username)
        let user = userList.filter(user => username === user.userName)
        if (!user) {
            return done(null, false, { message: 'Incorrect username.' });
        }
        return done(null, user);
    }
));

app.post('/login', passport.authenticate('local', {
    successRedirect: '/done',
    failureRedirect: '/login'
}));

app.get('/done', function (req, res) {
    console.log("Done")
    res.send("done")
})

app.get('/login', function (req, res) {
    console.log("login")
    res.send("login")
})

// http server creation
let server = http.createServer(app);

server.listen(7000, () => {
    console.log('Up and running on port 7000');
});

现在，当我点击 localhost:7000 时，它会打开登录页面，当我使用 userList 中的用户名单击提交时，它会返回已完成的登录。这可以。

现在每个调用都会经过 deserializeUser 方法。

问题是，当我直接调用其他 URL 而不点击/login(验证用户身份)时，它们也可以正常工作并返回数据。

我预计，如果请求未经身份验证，所有其他调用都将失败，因为 deserializeUser 正在拦截每个请求，但在这种情况下，不会调用任何通行证方法。

这就是它的工作原理吗？或者我错过了什么？

Answer 1

您需要添加一个中间件，用于检查您的用户是否经过身份验证:

isAuthenticated = (req, res, next) => {
    if (req.isAuthenticated()) {
      //if user is logged in, req.isAuthenticated() will return true 
      return next();
    }
    res.redirect('/login');
};

你必须像这样使用中间件:

//if user not authenticated, he will be redirect on /login
app.get('/done', isAuthenticated, (req, res) => {
    res.send("done")
});