Node/Express - Guter Ansatz für sichere Kommunikation zwischen Client/Server

Question

Ich baue eine Backend-API mit Node/Express, die die Daten von einer MongoDB erhalten. Die Vorderseite wird in React geschrieben.

Ich möchte die Kommunikation Client/Server sichern, aber ich weiß nicht, wie ich über den Prozess denken muss.

Ich sehe viele Tutorial über passport oder JWT, aber das ist gut für eine Benutzerauthentifizierung.

Ich weiß nicht, ob das Erstellen eines Tokens für jede Anfrage basierend auf der Zeit (zum Beispiel) ein guter Ansatz ist oder zu aufwendig für eine Web-App.

Aber mein Ziel ist es, die Daten zu sichern, denn selbst wenn die API privat ist, können Sie leicht die Route herausfinden und herausfinden, wie Sie eine Anfrage mit Postman oder etwas anderem fälschen können, um die Daten zu verschrotten.

Answer 1

Der akzeptierte Standard besteht darin, einen festen API KEY zu verwenden. Dieser Informationsfrieden sollte eine zufällig generierte Zeichenfolge sein, die Sie in jeder Anfrage in der Kopfzeile senden. Ihr Server muss die HTTP-Anfrage jedes Mal überprüfen, um zu sehen, ob der API KEY in der Kopfzeile vorhanden ist, und wenn dies der Fall ist, muss er den gespeicherten Wert in der Umgebungsvariable überprüfen (niemals den API KEY im Code speichern).

Wenn der API-KEY kompromittiert wird, können Sie die env-Variable einfach aktualisieren, und Sie sind wieder gut.

Jetzt ist diese Lösung ohne eine HTTPS-Verbindung sinnlos, weil jeder in der Lage sein wird, den Verkehr zu schnüffeln und den API KEY zu sehen. Eine verschlüsselte Verbindung ist in diesem Fall ein Muss.

Dieser Ansatz wird von nahezu jedes Unternehmen verwendet, die eine öffentliche API hat: Twitter, Facebook, Twilio, Google usw.

Google zum Beispiel hat einen zusätzlichen Schritt, wo sie Ihnen ein Token geben, die verfallen, aber das wird in deinem Fall ein Overkill sein: zumindest am Anfang.

Der folgende Code ist ein Beispiel für meine Implementierung einer API-Key-Überprüfung

app.use(function(req, res, next) { 

    // 
    // 1. Check if the APIKey is present 
    // 
    if(!req.headers.authorization) 
    { 
     return res.status(400).json(
      { 
       message: "Missing APIKey.", 
       description: "Unable to find the APIKey" 
      } 
     ); 
    } 

    // 
    // 2. Remove Basic from the beginning of the string 
    // 
    let noBasic = req.headers.authorization.replace('Basic ', ''); 

    // 
    // 3. Convert from base64 to string 
    // 
    let b64toString = new Buffer(noBasic, 'base64').toString("utf8"); 

    // 
    // 4. Remove the colon from the end of the string 
    // 
    let userAPIKey = b64toString.replace(':', ''); 

    // 
    // 5. Check if the APIKey matches the one on the server side. 
    // 
    if(userAPIKey != process.env.API_KEY) 
    { 
     return res.status(400).json(
      { 
       message: "APIKey don't match", 
       description: "Make sure what you are sending is what is in your server." 
      } 
     ); 
    } 

    // 
    // -> Go to the next stage 
    // 
    next() 

}); 

Sie die gesamte Datei hear mit der ganzen Umsetzung überprüfen können.

Answer 2

Wie ich gerade den Auth-Teil meiner AngularJS Anwendung beendet. Die Antwort lautet JWT und Passport, Sie sollten die großen Technologien verwenden, um Ihre Daten/API zu schützen.

Wenn Sie die JWT-Bibliothek verwenden, können Sie die HTTP-Köpfe für die Autorisierung halten.

Einige der Code, den ich verwendet:

app.js

var jwt = require('express-jwt'); 

var auth = jwt({ 
    secret: config.jwt.secret, 
    userProperty: 'payload' 
}); 

app.use('/api/secret', auth, apiSecretRoutes); 

login.js

module.exports.login = function (req, res) { 
    if (!req.body.username || !req.body.password) { 
     return tools.sendJSONresponse(res, 400, { 
      message: 'All fields required!' 
     }); 
    } 

    passport.authenticate('local', function (err, user, info) { 
     var token; 
     if (err) { 
      return tools.sendJSONresponse(res, 404, err); 
     } 

     if (user) { 
      token = user.generateJwt(); 
      return tools.sendJSONresponse(res, 200, { 
       ok: true, 
       message: 'welcome ' + user.name, 
       token: token 
      }); 
     } else { 
      return tools.sendJSONresponse(res, 400, info); 
     } 
    })(req, res); 
}; 

Benutzer.js

userSchema.methods.generateJwt = function() { 
    var expiryDays = 1; 
    var expiry = new Date(); 
    expiry.setDate(expiry.getDate() + expiryDays); 

    return jwt.sign({ 
     _id: this._id, 
     username: this.username, 
     name: this.name, 
     exp: parseInt(expiry.getTime()/1000) 
    }, config.jwt.secret); 
}; 

Mehr Refs:

• https://thinkster.io/angularjs-jwt-auth
• http://devdactic.com/restful-api-user-authentication-1/
• http://devdactic.com/restful-api-user-authentication-2/
• http://jwt.io
• https://github.com/auth0/express-jwt