Node.js Client-Zertifikat-Authentifizierung nur auf einigen Pfaden

Question

Ich habe eine node.js basierte Web-App, die sichere (https) Verbindungen vom Client erfordert. Was ich will ist, dass auf einigen Pfaden Client-Zertifikat-Authentifizierung erforderlich ist und auf anderen Pfaden nicht.

Also zum Beispiel. Wenn der Benutzer zu https://www.example.com/main geht, benötigt der Server keine Client-Zertifikat-Authentifizierung (und der Browser fragt nichts). Wenn der Benutzer jedoch zu https://www.example.com/secure navigiert, ist die Clientzertifikatauthentifizierung erforderlich (und der Browser öffnet daraufhin einen Dialog zur Auswahl des zu verwendenden Zertifikats).

Wie kann ich dies erreichen? Ich bin in der Lage, Client-Zertifikat-Authentifizierung zu erzwingen, wenn ich requestCert:true und rejectUnauthorized:true zu https.createServer Optionen übergebe. Das Problem bei diesem Ansatz besteht darin, dass das Clientzertifikat für jeden Pfad erforderlich ist.

Answer 1

Ich bin nicht sicher, ob ich genau verstehe, was Sie wollen .. aber basierend auf meinem Verständnis, wenn Sie Express verwenden, können Sie dieses Ding durch eine einfache Middleware verwalten .. In dieser Middleware können Sie jede Anfrage verfolgen kommt von http oder https durch diese

Eine HTTPS-Verbindung hat req.connection.encrypted (ein Objekt mit Informationen über die SSL-Verbindung). Eine HTTP-Verbindung hat keine req.connection.encrypted.

auch (aus der Dokumentation):

Mit HTTPS-Unterstützung verwenden request.connection.verifyPeer() und request.connection.getPeerCertificate() die Client-Authentifizierungsdaten zu erhalten.

Ich hoffe, das hilft ..

Answer 2

ich hier gelandet, weil ich auf der gleichen Ausgabe arbeite und den Ansatz teilen Ich nehme. Für Endpunkte, bei denen der Benutzer sich mit einem gültigen Zertifikat authentifizieren muss, verwende ich einen benutzerdefinierten Pfad an Endpunkte, die das Zertifikat erfordern, und vergewissere mich, dass der Benutzer sich mit einem Zertifikat authentifiziert hat, wenn er auf einen Endpunkt zugreift, der diesem Pfad folgt (Express-App vorausgesetzt). dh:

app.use('/api/cert', function(req, res, next){ 
    //validate that any token passed in the request was generated for a valid 
    //cert login, otherwise reject request 

    //pseudo-code 
    if(isValidCertToken(req.authentication.token)) { 
     next(); //this will pass it on to the correct endpoint in the /api/cert/[whatever] chain 
    } else { 
     req.status(401).send({error: 'invalid login, cert required'}); 
    } 
}); 

Dies erfordert, dass Sie dem Benutzer die Möglichkeit zur Authentifizierung Zert mit, indem der requestCert Flag auf true zu ermöglichen, sondern auch andere Authentifizierungsmethoden zulassen, wenn der Benutzer nicht die „cert verwenden nicht wünscht erforderlich "Endpunkte, solange rejectUnauthorized bei der Einrichtung von https connecton auf false gesetzt ist.