Как обрабатывать Express сеансов?

Question

Я пытаюсь разобраться с сеансами аутентификации в Node.js, Express, приложении Passport. Я создал строки кода для использования express -сессии, и она все еще не может авторизоваться, даже когда я регистрирую нового пользователя.

Вот стратегия.

// Local Strategy
  passport.use(new LocalStrategy({ usernameField: 'email' }, function(username, password, done){
    User.findOne({ 'email': username }, function(err, user){
      if(err) throw err;
      if(!user){
        return done(null, false, {type: "danger", message: 'No user found'});
      }

      // Match Password
      bcrypt.compare(password, user.password, function(err, isMatch){
        if(err) throw err;
        if(isMatch){
          return done(null, user);
        } else {
          return done(null, false, {type: "danger", message: 'Wrong password'});
        }
      });
    });
  }));

Вот сериализаторы.

  passport.serializeUser(function(user, done) {
    console.log(user.id);
    done(null, user.id);
  });

  passport.deserializeUser(function(id, done) {
    User.findById(id, function(err, user) {
      console.log(user.id);
      done(err, user);
    });
  });

Здесь вход в систему и регистрация маршрута.

// Login page and form
router.get('/login', function(req, res) {
  res.render('login');
});
router.post('/login', passport.authenticate('local',
{successRedirect: '/chat',
failureRedirect: '/login'}));

// Register page and form
router.get('/register', function(req, res) {
  let errors = [];
  res.render('register', { 'errors': '' });
});
router.post('/register', [
  check('name').notEmpty().withMessage('Name field is empty'),
  check('surname').notEmpty().withMessage('Surname field is empty'),
  check('email').notEmpty().withMessage('E-mail is empty'),
  check('password').notEmpty().withMessage('Password field is empty'),
  check('password_confirm').notEmpty().withMessage('Password confirmation field is empty'),
  check("password", "Passwords don't match")
        .custom((value,{req}) => {
            if (value !== req.body.password_confirm) {
                throw new Error("Passwords don't match");
            } else {
                return value;
            }
        }),
], function(req, res) {
  const { name, surname, email, password } = req.body;

  let errors = validationResult(req);

  console.log(errors.errors);

  if(!errors){
    res.render('register', { 'errors': errors.errors });
    console.log('ebebe');
  } else {
    console.log('oooo');
    let NewUser = new User ({
      name, surname, email, password
    });
    bcrypt.genSalt(10, function(err, salt) {
      bcrypt.hash(password, salt, function(err, hash) {
        NewUser.password = hash;
        NewUser.save();
      });
    });
    res.redirect('/chat');
  }
});

Здесь защищенный маршрут.

router.get('/chat', (req, res) => {
  if(req.isAuthenticated()) {
      res.send('definitely secure page');
      console.log(req.user);
      console.log(req.isAuthenticated());
  } else {
      res.send('ebebe');
      console.log(req.user);
      console.log(req.isAuthenticated());
  }
});

Как заставить его работать должным образом и что я делаю неправильно

Answer 1

Вот способ сделать это. Вы можете использовать что-то вроде jsonwebtoken в сочетании с express-session и написать функцию промежуточного программного обеспечения, чтобы проверить, является ли токен действительным, и использовать его для защиты маршрутов, которые вы хотите защитить. Вот некоторые фрагменты кода, которые, я надеюсь, помогут вам в правильном направлении.

Сначала вы можете написать такую ​​функцию в своей UserSchema, чтобы потом использовать ее для генерации токена jwt, когда пользователь входит в систему

var jwt = require('jsonwebtoken');
UserSchema.methods.generateJWT = function() {
    var today = new Date();
    var exp = new Date(today);
    exp.setDate(today.getDate() + 60);

    return jwt.sign({
        id: this._id,
        username: this.username,
        exp: parseInt(exp.getTime() / 1000),
    }, secret);
};

, затем в маршруте входа вы можете использовать это для генерации токена.

router.post('/login', passport.authenticate('local',
failureRedirect: '/login'}), function(req, res) {
           req.user.token = user.generateJWT();

           req.session.token = req.user.token;
           res.redirect('/dashboard')
});

, а затем вы можете написать промежуточное программное обеспечение

function auth(req, res, next) {
  //console.log(req.session.token)
  if (req.session.token) {

    const token = req.session.token


    let decoded = jwt.verify(token, secret)
    console.log(decoded)

    User.findById(decoded.id, function(err, user) {
      if (err || !user) {
        return res.redirect('/')
      }
      //console.log(user)
      res.locals.user = user
      req.user = user
      next()
    })
  } else {
    return res.redirect('/')
  }

}

, а затем вы можете защитить свои маршруты с помощью

router.get('/protected', auth, function(req, res) {


})