Сессии входа
Часть раздела Аутентификация и безопасность путешествия по Node.js на Coddy. Урок 10 из 24.
В ответ на вход выполняется запрос с кодом 200, но следующий запрос уже не помнит, кто вошёл. Это помнит сеанс. При входе сервер создаёт идентификатор, который никто не сможет угадать, сохраняет сведения о том, какому пользователю он принадлежит, и отправляет его в файле cookie. Каждый следующий запрос возвращает этот идентификатор, и сервер ищет его в хранилище.
Идентификатор должен быть случайным. Если бы в файле cookie хранилось имя пользователя, любой мог бы ввести Cookie: sid=ada и выдать себя за Аду. randomBytes(24) создаёт 24 случайных байта — 192 бита, которые никто не сможет угадать. toString('base64url') записывает их в виде 32 букв, цифр, символов - и _ — символов, которые безопасно использовать в файле cookie. Установите для файла cookie параметр httpOnly, чтобы скрипты на странице не могли его прочитать.
const cartId = randomBytes(24).toString('base64url');
await carts.insertOne({ _id: cartId, items: [] });
res.cookie('cart', cartId, { httpOnly: true });
// при последующем запросе
const cart = await carts.findOne({ _id: parseCookies(req.get('cookie')).cart });
Задание
ЛегкоНа этом шаге открывается подготовленный проект API для приватных заметок курса, а не файлы твоего проекта из урока Remembering with Cookies (включая server.js). Твоя предыдущая работа остаётся в своём уроке. Прочитай предоставленные файлы, прежде чем редактировать server.js. В этой копии есть маршруты регистрации и входа для приватных заметок.
Вход работает, но следующий запрос уже забыл, кто вошёл. Нужно, чтобы сервер запоминал пользователя с помощью сессии: случайный идентификатор сохраняется на сервере и отправляется браузеру в виде cookie.
- В
server.jsимпортируйrandomBytesизnode:crypto. Импортируйsessionsиз./db.jsвместе сnotesиusers. В заблокированном файлеdb.jsколлекцияsessionsуже создана. - В
POST /login, после проверки пароля, создай идентификатор сессии: 24 случайных байта, записанных в виде текста base64url. Это 32 символа — буквы, цифры,-и_, напримерoqjRxvxmXl_nRwAwOLxgZyI2sYq9hZtN. При каждом входе создавай новый идентификатор. - Сохрани сессию в
sessionsкак документ с двумя полями:_id: идентификатор сессии.userId: значение_idвошедшего пользователя.
- Отправь идентификатор браузеру в виде cookie с именем
sidи параметромhttpOnly, чтобы скрипты на странице не могли прочитать его. В ответе на вход по-прежнему возвращается{"username": "ada"}. - Добавь
GET /me. Он читает cookiesid, находит сессию с таким значением_id, а затем находит пользователя этой сессии. В ответе возвращается{"username": "ada"}. Если cookiesidотсутствует или сессии с таким идентификатором нет, верни статус 401 и{"error": "Log in first"}. Если пользователь вручную введёт cookie, напримерsid=ada, он должен получить ответ 401.
Попробуй: Нажми «Играть». Отправь POST /signup с телом {"username": "ada", "password": "correct horse"}. Отправь GET /me: статус 401 и {"error": "Log in first"}. Отправь POST /login с тем же телом, что и для регистрации: статус 200. На вкладке Headers ответа отображается Set-Cookie: sid=...; Path=/; HttpOnly, где вместо точек будет твой случайный идентификатор. Отправь GET /me ещё раз. Браузер отправляет cookie обратно, поэтому ты получишь {"username": "ada"}. Открой Data: в sessions находится один документ, в котором твой идентификатор указан как _id, а значение _id пользователя ada — как userId.
Попробуйте сами
import express from 'express';
import { parseCookies } from './cookies.js';
import { notes, users } from './db.js';
import { hashPassword, verifyPassword } from './passwords.js';
const app = express();
app.use(express.json());
app.post('/signup', async (req, res) => {
const username = String(req.body.username ?? '').trim().toLowerCase();
const password = String(req.body.password ?? '');
if (!username || password.length < 8) {
return res.status(400).json({ error: 'Pick a username and a password of at least 8 characters' });
}
if (await users.findOne({ username })) {
return res.status(409).json({ error: 'That username is taken' });
}
await users.insertOne({ username, passwordHash: await hashPassword(password) });
res.status(201).json({ username });
});
app.post('/login', async (req, res) => {
const username = String(req.body.username ?? '').trim().toLowerCase();
const user = await users.findOne({ username });
if (!user || !(await verifyPassword(String(req.body.password ?? ''), user.passwordHash))) {
return res.status(401).json({ error: 'Wrong username or password' });
}
res.json({ username: user.username });
});
// Подсчитывает, сколько раз этот браузер отправил запрос GET /visit.
app.get('/visit', (req, res) => {
const cookies = parseCookies(req.get('cookie'));
const visits = Number(cookies.visits ?? 0) + 1;
res.cookie('visits', String(visits));
res.json({ visits });
});
// Заметки. Пока их может читать и записывать кто угодно.
app.get('/notes', async (req, res) => {
res.json(await notes.find().toArray());
});
app.post('/notes', async (req, res) => {
const note = { text: String(req.body.text ?? '') };
await notes.insertOne(note);
res.status(201).json(note);
});
app.listen(3000, () => {
console.log('Vault is running on port 3000');
});
Все уроки раздела Аутентификация и безопасность
Потренируйтесь самостоятельно: Песочница Express