passport-local với node-jwt-simple

Question 1

Làm cách nào để kết hợp passport-local để trả lại mã thông báo JWT khi xác thực thành công?

Tôi muốn sử dụng node-jwt-simple và nhìn vào passport.js, tôi không biết phải làm thế nào.

var passport = require('passport')
  , LocalStrategy = require('passport-local').Strategy;

passport.use(new LocalStrategy(
  function(username, password, done) {
    User.findOne({ username: username }, function(err, user) {
      if (err) { return done(err); }
      if (!user) {
        return done(null, false, { message: 'Incorrect username.' });
      }
      if (!user.validPassword(password)) {
        return done(null, false, { message: 'Incorrect password.' });
      }
      return done(null, user);
    });
  }
));

Có thể trả lại mã thông báo khi gọi done () không? Một cái gì đó như thế này ... (chỉ là mã giả)

if(User.validCredentials(username, password)) {
  var token = jwt.encode({username: username}, tokenSecret);
  done(null, {token : token}); //is this possible?
}

Nếu không, tôi có thể trả lại mã thông báo bằng cách nào?

Question 2

Tôi đã hiểu rồi!

Trước hết bạn cần thực hiện chiến lược chính xác. Trong trường hợp của tôi là LocalStrategy và bạn cần cung cấp logic xác thực của mình. Ví dụ vì lợi ích, hãy sử dụng một trong hộ chiếu-địa phương.

var passport = require('passport')
  , LocalStrategy = require('passport-local').Strategy;

passport.use(new LocalStrategy(
  function(username, password, done) {
    User.findOne({ username: username }, function(err, user) {
      if (err) { return done(err); }
      if (!user) {
        return done(null, false, { message: 'Incorrect username.' });
      }
      if (!user.validPassword(password)) {
        return done(null, false, { message: 'Incorrect password.' });
      }
      return done(null, user);
    });
  }
));

cuộc gọi lại xác minh mà bạn cung cấp function(username, password, done)sẽ thực hiện việc tìm kiếm người dùng của bạn và kiểm tra xem mật khẩu có khớp không (ngoài phạm vi câu hỏi và câu trả lời của tôi)

passport.js mong đợi một số phần để nó hoạt động, một là bạn trả lại người dùng trong chiến lược. Tôi đã cố gắng thay đổi phần đó của mã, và điều đó đã sai. Cuộc gọi lại dự kiến falsenếu xác thực không thành công và object(người dùng đã xác thực) nếu bạn thành công.

Bây giờ .... làm thế nào để tích hợp JWT?

Trong lộ trình đăng nhập, bạn sẽ phải xử lý xác thực thành công hoặc không thành công. Và chính ở đây bạn cần thêm phần tạo mã thông báo JWT. Như vậy:

(hãy nhớ vô hiệu hóa phiên, nếu không bạn sẽ phải triển khai các chức năng tuần tự hóa và giải mã hóa. Và bạn không cần các chức năng này nếu bạn không duy trì phiên, bạn không cần nếu bạn đang sử dụng xác thực dựa trên mã thông báo)

Từ ví dụ hộ chiếu-địa phương: (có thêm mã thông báo JWT)

// POST /login
//   This is an alternative implementation that uses a custom callback to
//   achieve the same functionality.
app.post('/login', function(req, res, next) {
  passport.authenticate('local', function(err, user, info) {
    if (err) { return next(err) }
    if (!user) {
      return res.json(401, { error: 'message' });
    }

    //user has authenticated correctly thus we create a JWT token 
    var token = jwt.encode({ username: 'somedata'}, tokenSecret);
    res.json({ token : token });

  })(req, res, next);
});

Và đó là nó! Bây giờ khi bạn gọi / đăng nhập và ĐĂNG tên người dùng và mật khẩu (phải luôn qua SSL) đoạn mã đầu tiên ở trên sẽ cố gắng tìm người dùng dựa trên tên người dùng bạn đã cung cấp và sau đó kiểm tra xem mật khẩu có khớp không (Tất nhiên bạn sẽ cần thay đổi cho phù hợp với nhu cầu của bạn).

Sau đó, tuyến đường đăng nhập của bạn sẽ được gọi và ở đó bạn có thể xử lý việc trả lại lỗi hoặc mã thông báo hợp lệ.

Hy vọng điều này sẽ giúp một ai đó. Và nếu tôi có bất kỳ sai lầm hoặc quên điều gì đó, hãy cho tôi biết.

Question 3

Đây là một giải pháp tuyệt vời, tôi chỉ muốn thêm điều này:

var expressJwt = require('express-jwt');

app.use('/api', expressJwt({secret: secret}));

Tôi thích sử dụng "express-jwt" để xác thực mã thông báo.

btw: bài viết này rất tuyệt để tìm hiểu cách xử lý mã thông báo ở phía máy khách, sử dụng Angular, để gửi nó trở lại với mọi yêu cầu

https://auth0.com/blog/2014/01/07/angularjs-authentication-with-cookies-vs-token/

Question 4

Đây là một boiler-plate mà tôi đang làm để chỉ sử dụng mã thông báo api (không có phiên nào ... tất nhiên không phải phiên đó là xấu; chỉ là chúng tôi đang sử dụng phương pháp mã thông báo): https://github.com/roblevintennis/passport -api-token