DEV Community
·
Express身份验证与基于角色的访问控制（RBAC）
💡
原文英文，约2000词，阅读约需8分钟。
📝
内容提要
本文介绍了安全管理API的方法，包括用户注册、登录、令牌刷新和注销的路由设置，使用bcryptjs进行密码哈希，生成和存储JWT令牌，以及应用中间件以确保只有授权用户可以访问特定功能。
🎯
关键要点
- 安全管理API不仅仅是检查凭证，还需要控制用户权限和确保令牌的短期有效性和可撤销性。
- 设置用户注册、登录、令牌刷新和注销的路由，并进行输入验证。
- 使用bcryptjs进行密码哈希，生成JSON Web令牌（JWT）并将刷新令牌存储在数据库中。
- 编写中间件以验证JWT，附加用户信息到请求中，并强制执行角色检查。
- 应用中间件到事件管理路由，以确保只有授权用户可以创建、更新或删除事件。
- 使用express-validator进行输入验证，确保注册和登录请求的有效性。
- 在注册时检查用户名和电子邮件是否已存在，哈希密码并使用事务处理确保操作的原子性。
- 登录端点在发放新令牌之前验证密码。
- 中间件用于保护路由，验证JWT并附加用户数据，检查用户角色。
- 可以扩展中间件以进行团队或事件特定的检查。
- 通过中心化的令牌生成函数和中间件例程，可以确认每个请求来自已知用户，按角色授予或拒绝访问，并通过会话表刷新和撤销令牌。
❓
延伸问答
如何设置用户注册和登录的路由？
用户注册和登录的路由可以通过express-validator进行输入验证，并使用专门的路由器进行设置。
JWT令牌是如何生成和存储的？
JWT令牌通过auth控制器生成，并将刷新令牌存储在数据库中以便后续撤销。
如何确保只有授权用户可以访问特定功能？
通过编写中间件来验证JWT，并附加用户信息，同时强制执行角色检查，确保只有授权用户可以访问特定功能。
在用户注册时需要检查哪些信息？
在用户注册时，需要检查用户名和电子邮件是否已存在，并对密码进行哈希处理。
如何处理用户登录时的密码验证？
在用户登录时，系统会查找用户名并验证输入的密码是否与数据库中的哈希密码匹配。
如何使用中间件保护API路由？
可以通过在路由处理程序中添加认证和授权中间件来保护API路由，确保请求来自已知用户并检查用户角色。
➡️
