javascript - 如何禁止非授权用户访问API？

Question

我使用的是 sails.js，我可以使用 API 来修改 mongodb 中的数据，例如创建新用户、修改用户等。如何禁止非授权用户访问 API？

Answer 1

要进入这里需要相当多的时间，因此没有任何进一步的背景信息，简而言之，您将需要:

• 策略:这些是当路由(例如)到达时执行的函数。/api/view 被调用。他们可以确保在允许访问路由 Controller 逻辑之前将有效的用户存储在您的 session 中

• 身份验证系统:有人提到了passportjs。就我个人而言，我会创建自己的用户模型、用户 Controller 和 View ，以便注册、登录、忘记某人的密码。为什么？因为您需要在某些时候了解 sails 如何与身份验证、 session 、策略和其他流程配合使用。简而言之，创建一个用户模型来存储用户的信息，也许有一个 oncreate 方法，可以在将用户记录保存为新记录之前对密码进行加密。创建一个用户 Controller 来管理登录、注销、注册和忘记密码。创建到每个 Controller 操作的路由，登录 View 将调用 Controller 中的登录操作，并找到一个用户模型，将给定的密码与存储的加密密码进行比较。

• session 管理:用户登录或注销后，您需要管理他们的“ session ”。简而言之，如果您不管理 session ，用户将不得不继续登录，因为系统不会记住它们。这在 sails 中很容易做到，我建议阅读:http://sailsjs.org/documentation/concepts/sessions为了简单起见，当用户登录时，您将设置一个 session 变量，例如 req.session.User.id = 1，当您希望他们注销时，您可以取消 session ，强制他们返回登录页面。

• 返回策略:我之前提到过这些，但策略是您检查 session 以查看它们是否有权查看每个 Controller 操作的地方。这意味着您可以非常详细地了解他们可以使用和不能使用哪些操作。政策示例可以在这里找到:http://sailsjs.org/documentation/concepts/policies在我的策略中，我只是有一个 LoggedIn 函数，用于检查用户是否具有有效的 session ，如果没有，则将其发送到登录路由。这种基本保护可以阻止人们在未登录的情况下查看不该查看的内容。

• 蓝图路线/操作:您需要关闭 sails 默认打开的内置蓝图。当您想要通过 Api 接口(interface)从数据库中读取/写入/删除项目时，这些在开发中非常有用，但在生产中这很危险，您将希望策略与 session 一起完成这项工作。要关闭蓝图，请查看此处的指南:http://sailsjs.org/documentation/anatomy/my-app/config/blueprints-js看看它们是如何大部分都设置为 true 的吗？阅读每个项目的注释并决定是否需要将其切换为 false。

如果您在任何方面需要任何进一步的帮助，请告诉我。尽可能具体，因为这会有很大帮助。我建议您看一下“Sails in action”，这是一本电子书，其中还包含示例代码，非常清楚地涵盖了这些信息!