Использование веб-токенов JSON с Node.js

 // @file jwtauth.js var UserModel = require('../models/user'); var jwt = require('jwt-simple'); module.exports = function(req, res, next) { // code goes here }; 

Для максимальной гибкости мы позволим клиенту присоединять токен одним из трех способов — в качестве параметра строки запроса, параметра тела формы или в заголовке HTTP. Для последнего мы будем использовать заголовок x-access-token .

Вот код, который идет в нашем промежуточном программном обеспечении, который пытается получить токен:

 var token = (req.body && req.body.access_token) || (req.query && req.query.access_token) || req.headers['x-access-token']; 

Обратите внимание, что для доступа к req.body нам нужно сначала присоединить промежуточное программное обеспечение express.bodyParser() .

Далее, давайте попробуем декодировать JWT:

 if (token) { try { var decoded = jwt.decode(token, app.get('jwtTokenSecret')); // handle token here } catch (err) { return next(); } } else { next(); } 

Если процесс декодирования завершится неудачно, пакет JWT Simple выдаст исключение. Если это происходит или токен не был предоставлен, мы просто вызываем next() для продолжения обработки запроса — это просто означает, что мы не определили пользователя. Если действительный токен существует и декодируется, мы должны получить объект с двумя свойствами — iss содержащий идентификатор пользователя, и exp с меткой времени истечения. Давайте сначала проверим последний и отклоним токен, если срок его действия истек:

 if (decoded.exp <= Date.now()) { res.end('Access token has expired', 400); } 

Если токен все еще действителен, мы можем получить пользователя и прикрепить его к объекту запроса, как показано ниже.

 User.findOne({ _id: decoded.iss }, function(err, user) { req.user = user; }); 

Наконец, прикрепите промежуточное ПО к маршруту:

 var jwtauth = require('./jwtauth.js'); app.get('/something', [express.bodyParser(), jwtauth], function(req, res){ // do something }); 

Или, возможно, прикрепить его к куче маршрутов:

 app.all('/api/*', [express.bodyParser(), jwtauth]); 

Наше промежуточное программное обеспечение теперь проверяет запросы на поиск допустимого токена и, если он существует, присоединяет к запросу объект пользователя. Теперь должно быть довольно просто создать какое-то простое промежуточное программное обеспечение, чтобы отклонить запрос без действительного токена, хотя вы можете захотеть встроить его в тот же самый промежуточный компонент.

Это серверный элемент подхода с использованием токенов. В следующем разделе мы рассмотрим, как токены работают на стороне клиента.

Клиент

Мы предоставили простую конечную точку GET для получения токена доступа. Это достаточно просто, что нам, вероятно, не нужно вдаваться в детали — просто позвоните, передав имя пользователя и пароль (возможно, из формы), и, если запрос выполнен успешно, сохраните полученный токен где-нибудь для дальнейшего использования.

Более подробно мы рассмотрим присоединение токена к последующим вызовам. Один из способов сделать это — использовать метод ajaxSetup() . Это может быть использовано для простых вызовов Ajax или для интерфейсных сред, которые используют Ajax для связи с сервером. Например, предположим, что мы поместили наши токены доступа в локальное хранилище, используя window.localStorage.setItem('token', 'the-long-access-token') ; мы можем прикрепить токены ко всем звонкам через заголовки:

 var token = window.localStorage.getItem('token'); if (token) { $.ajaxSetup({ headers: { 'x-access-token': token } }); } 

Проще говоря, это «захватит» все запросы Ajax и, если токен находится в локальном хранилище, он присоединит его к запросу с помощью заголовка x-access-token .

Это не относится к истечению срока действия токена, но это должно быть относительно просто. Вы помните, что мы вернули метку времени истечения срока действия с токеном. Кроме того, вы можете пожелать, чтобы сервер уведомил клиента о токене с истекшим сроком действия, используя заголовки, которые указывают, что они должны повторно пройти аутентификацию.

Использование с Backbone

Давайте применим подход из предыдущего раздела к приложению Backbone. Самый простой способ сделать это — глобально переопределить Backbone.sync() как показано ниже.

 // Store "old" sync function var backboneSync = Backbone.sync // Now override Backbone.sync = function (method, model, options) { /* * "options" represents the options passed to the underlying $.ajax call */ var token = window.localStorage.getItem('token'); if (token) { options.headers = { 'x-access-token': token } } // call the original function backboneSync(method, model, options); }; 

Дополнительная безопасность

Вы можете добавить дополнительный уровень безопасности, сохраняя запись выданных токенов на сервере, а затем проверяя их по этой записи при каждом последующем запросе. Это предотвратит «подделку» токена третьей стороной, а также позволит серверу аннулировать токен. Я не буду освещать это здесь, но это должно быть относительно простым для реализации.

Резюме

В этой статье мы рассмотрели некоторые подходы к аутентификации на API, в частности, JSON Web Tokens. Мы использовали Node с Express для написания базовой рабочей реализации этого метода и рассмотрели, как использовать его на стороне клиента, используя Backbone в качестве примера. Код для этой статьи доступен на GitHub .

В спецификации есть еще кое-что, что мы не реализовали в полной мере, например, «заявки» на ресурсы, но мы использовали базовое предложение для создания механизма обмена учетными данными для токена доступа, в данном случае между клиентом. и сервер приложения JavaScript.

Конечно, вы можете применить этот подход к другим технологиям — например, к Ruby или PHP-бэкэнду, или к Ember или AngularJS-приложениям. Кроме того, вы можете принять его для мобильных приложений. Например, используя веб-технологии в сочетании с чем-то вроде PhoneGap, используя такой инструмент, как Sencha, или как полностью нативное приложение.