using mongoos ObjectId für die Autorisierung

Question

Wäre es eine gute Übung, die von Mungoose generierte ObjectId zu verwenden, um zu überprüfen, ob Daten zu einem bestimmten Benutzer gehören? sudo Code

Beispiel:

Beispiel in db:

[ObjectId]: { 
    myStuff: 'foo' 
} 

Beispiel Überprüfung Zulassung:

if (jwt.bar.ObjectId === ObjectId) { 
    //then you can mod this data because it is yours 
} 

Wenn nicht, was ist ein empfohlene Weg, dies zu nähern?

Answer 1

Sie können die ObjectID nicht als Sitzungskennung verwenden, da sie nie erneuert wird, nachdem das Dokument erstellt wurde, und es ist vorhersehbar.

Von MongoDB Documentation:

Der 12-Byte-ObjectId Wert besteht aus:

einen 4-Byte-Wert der Sekunden seit der Epoche Unix darstellt,

eine 3-Byte-Gerätekennung,

eine 2-Byte-Prozess-ID,

und ein 3-Byte-Zähler, s Tarting mit einem zufälligen Wert.

Aus Sicherheitsgründen wäre es eine schlechte Übung.

Verwenden Sie richtige Sitzungs-IDs, um Anfragen von Benutzern zu identifizieren.