Auth 應用程式 - Authentication 認證篇

15th鐵人賽

kika

2023-10-05 18:16:14

223 瀏覽

分享至

Auth 應用程式 - Authentication 認證篇

JWT - Quick Review

在前面我們實踐了 Login 並取得 JWT。

接著，在 Access 時，我們會需要 Send 一個 Auth request 給 Server，然後，Server 端會比較 JWT，最後回傳 response 給 Client 端。

Authentication 實踐篇

在 access 的時候，會將 JWT 帶入 request header，接著，我們會藉由在 server 中比較 JWT，再返回 request。

加入 JWT 的四步驟

取得 token

接收 Client 傳來的 header ，並取得 JWT
驗證 token
確認 user 是否還存在

避免在認證完 token 後，user 被 delete
確認是否在 issue 發出去後，user 改動了 password

Password 被更動，應該要重新取得 JWT
允許進入被受保護的 route

以下為範例:

Good Practice

protect router

// 會先運行 authController.protect，執行成功後再運行 testController.getAllTests (此處主要是保護 getAllTests 這個 routes)
router
  .route('/')
  .get(authController.protect, testController.getAllTests)
  .post(testController.createTest)

protect function:

exports.protect = async (req, res, next) => {
    
    // 1. 取得 token 
    let token;

    // 此處會依照開頭是否是 Bearer 來作為判斷依據的原因:
    // 因為這邊預設 request 的 header 是帶上: "Bearer ${JWT_TOKEN}" 
    if(
      req.headers.authentication &&
      req.headers.autrhntication.startWith('Bearer')
    ) {
        token = req.headers.authorization.split(' ')[1];
    }
    
    if (!token) {
        return next (
            new AppError('Please Log in to get access', 401);
        );
    }
    
    // 2. 驗證 token
    // 此處使用 promisify 是想要把 jwt.verify 轉換成 promise 版本，避免 Error first call-back
    const decoded = await promisify(jwt.verify)(token, process.env.JWT_SECRET);
    
    
    // 3. 確認 user 是否還存在
    const freshUser = await User.findById(decoded.id);
    if(!freshUser) {
        return next(new AppError('The token belonging to this user does no longer exist.', 401));
    }
    
    // 4. 確認是否在 token 發出去後，user 改動了 password
    // 此處使用到的 changedPasswordAfter function 寫在下一個程式碼區塊
    // 這邊的 iat 是指 指示 JWT 發佈時間的時間戳，有興趣可以回之前的規劃篇看看 ~
    if (freshUser.changedPasswordAfter(decoded.iat)) {
        return next(new AppError('Password has been changed recently. Please login again.', 401));
    }
    
    // 5. 允許進入被受保護的 route
    req.user = freshUser;
    
    next();
    
}

changedPasswordAfter() function:

userSchema.methods.changedPasswordAfter = function(JWTTimestamp) {
    
    // 此處為原本有的 passwordChangedAt 參數
    if (this.passwordChangedAt) {
        
        const changedTimestamp =   parseInt(
            this.passwordChangedAt.getTime() / 1000, 10);
        
        return JWTTimestamp = changedTimestamp;

    }
    
    return false;
}