1

Я сделал аутентификаццию Node.js API с помощью JSON Web Tokens. Я генерРИРУЮ токен для аутентификации пользователей. Теперь мне нужно защищать свой API на основе пользовательских ролей. Вот как я маршрутизирую промежуточное ПО для аутентификации и проверки токена:

const jwt = require("jsonwebtoken");
const bcrypt = require("bcrypt");
let dateFormat = require("dateformat");
let now = new Date();
const router = express.Router();
const saltRounds = 10;

//handles url http://localhost:6001/authorization/signup
router.post("/signup", (req, res) => {
  let user = new User(
    req.body.first_name,
    req.body.last_name,
    req.body.user_email,
    req.body.user_parole,
    dateFormat(now, "isoDateTime"),
    dateFormat(now, "isoDateTime")
  );

  db.query(User.getCheckUserSQL(user.user_email), (_err, data) => {
    if ((user.user_email = data[0].user_email)) {
      res.status(401).json({
        failed: "A user with this email address already exists."
      });
    } else {
      bcrypt.hash(user.user_parole, saltRounds, (_err, hash) => {
        db.query(user.getRegisterUserSQL(hash), (err, result) => {
          if (!err) {
            res.status(200).json({
              message: "User register.",
              userId: result.insertId
            });
          } else {
            res.status(500).json({
              error: err
            });
          }
        });
      });
    }
  });
});

//handles url http://localhost:6001/authorization/signin
router.post("/signin", (req, res) => {
  let user_email = req.body.user_email;
  let user_parole = req.body.user_parole;

  db.query(User.getCheckUserSQL(user_email), (_err, data) => {
    bcrypt.compare(user_parole, data[0].user_parole, (err, result) => {
      if (err) {
        res.status(401).json({
          failed: "Unauthorized Access"
        });
      }
      if (result) {
        const JWTToken = jwt.sign(
          {
            user_email: data.user_email,
            user_id: data.user_id
          },
          "secret",
          {
            expiresIn: "2h"
          }
        );
        return res.status(200).json({
          success: "Welcome to the JWT Auth",
          token: JWTToken
        });
      }
      res.status(401).json({
        failed: "Unauthorized Access"
      });
    });
  });
});

Как мне можно добавить роли, скажем admin, user, editor?

3
  • Если коротко: при генерации токена вы указываете роль, например user_admin: data.user_role, потом создаете middleware, где декодируется токен пользователя обратно в json и так вы узнаете его роль.
    – Doigrales
    Commented 22 янв. 2019 в 11:08
  • Можно по подробнее? Какой нибуть источник, статью, пример
    – MegaRoks
    Commented 22 янв. 2019 в 11:26
  • просто положи роль в токен. он всеравно подписан
    – eri
    Commented 22 янв. 2019 в 11:29

1 ответ 1

2

Сгенерировали токен

const JWTToken = jwt.sign(
   {
      user_email: 'user@mail',
      user_id: '1',
      user_role: 'admin' 
    },
    'secret',
    {
      expiresIn: '2h'
    }
);

Проверяем пользователя

router.use((req, res, next) => {
    jwt.verify(
        req.headers.token, //пользователь отдал свой токен в заголовке
       'secret', 
        (err, decoded) => {
            console.log(decoded); 
            if (err || decoded.user_role !== 'admin') {
               return res.status(401).send(err);
            }      
            next();
    });
});

//decoded
{
   user_email: 'user@mail',
   user_id: '1',
   user_role: 'admin' 
}
4
  • Привильно понял я, чтобы обратиться к router.use надо перейти на него?
    – MegaRoks
    Commented 22 янв. 2019 в 12:13
  • В примере я зарегистрировал обработчик уровня маршрутизатора(обрабатываем все запросы). Если вас смущает use, то обработчик можно регистрировать и для каждого запроса отдельно router.get('/admin', (req, res, next)) {... . Далее все зависит от логики вашего приложения.
    – Doigrales
    Commented 22 янв. 2019 в 12:24
  • В Postman делаю запрос http://localhost:6001/authorization/user но получаю ошибку { "name": "JsonWebTokenError", "message": "jwt must be provided" } Как я понял он не идит мой token Как его передать?
    – MegaRoks
    Commented 22 янв. 2019 в 12:40
  • 1
    @MegaRoks когда формируете запрос, то добавьте в headers token: "usertokenexample"
    – Doigrales
    Commented 22 янв. 2019 в 12:47

Ваш ответ

Нажимая «Отправить ответ», вы соглашаетесь с условиями пользования и подтверждаете, что прочитали политику конфиденциальности.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.