Подписание токенов

Часть раздела Аутентификация и безопасность путешествия по Node.js на Coddy. Урок 15 из 24.

Токен чего-то стоит, только если никто другой не может создать такой же. При использовании HS256 jose объединяет заголовок и полезную нагрузку с секретом, который известен только серверу, и хеширует результат. Этот хеш и есть подпись. Без секрета никто не сможет создать совпадающую подпись.

Секрет берётся из переменной окружения process.env.JWT_SECRET, а не из кода: код распространяют, копируют и добавляют в систему контроля версий. В этом уроке для тебя задаётся JWT_SECRET. Библиотеке jose нужны байты.

const key = new TextEncoder().encode(process.env.INVITE_SECRET);

const invite = await new SignJWT({ room: 'design' })
    .setProtectedHeader({ alg: 'HS256' })
    .setSubject(guestId)
    .setIssuedAt()
    .setExpirationTime('2d')
    .sign(key);

setSubject принимает текст, а setExpirationTime — период времени, например '30m' или '2d'.

Задание

Легко

Приложения, которые обращаются к вашему API, например приложение для телефона, не хранят файлы cookie так, как это делает браузер. Вместо этого выдавайте им токен: подписанный JWT, который они отправляют с каждым запросом. POST /token — это вход в такие приложения.

В server.js импортируйте SignJWT из jose рядом с decodeJwt. Перед маршрутами преобразуйте process.env.JWT_SECRET в байты с помощью TextEncoder, как показано в уроке, поскольку jose подписывает байты. В этом уроке для вас задаётся JWT_SECRET.
Добавьте POST /token. Он принимает то же тело запроса, что и вход: {"username": "ada", "password": "correct horse"}, и проверяет имя пользователя и пароль так же, как это делает POST /login. Если они неверны, верните ответ со статусом 401 и {"error": "Wrong username or password"}.
Если данные верны, подпишите токен и верните его в ответе как {"token": "..."}. Токен должен:
- использовать алгоритм HS256 с подписью на основе байтов JWT_SECRET;
- содержать утверждение username в своей полезной нагрузке;
- иметь текстовое значение _id пользователя в качестве темы. Используйте toHexString(), поскольку jose не принимает тему, которая не является текстом;
- истекать через час после создания.
Токен из этого урока выглядит так: eyJhbGciOiJIUzI1NiJ9.eyJ1c2VybmFtZSI6ImFkYSIsInN1YiI6IjY2ZjFjMmE5ZTRiMGExYjJjM2Q0ZTVmNiIsImlhdCI6MTc5MzM2MTYwMCwiZXhwIjoxNzkzMzY1MjAwfQ.EdCrjAKSjZowcjE3-IjKttBLVK1VKKbL9DPnJDLdgug

Попробуйте: Нажмите «Играть». Отправьте POST /signup с телом {"username": "ada", "password": "correct horse"}. Отправьте POST /token с тем же телом: статус 200 и {"token": "..."}. Скопируйте токен и отправьте GET /inspect?token=, добавив его в конце. Вы увидите что-то вроде {"username": "ada", "sub": "66f1c2a9e4b0a1b2c3d4e5f6", "iat": 1793361600, "exp": 1793365200}: exp наступает через 3600 секунд после iat. Отправьте POST /token с телом {"username": "ada", "password": "wrong horse"}: статус 401.

Попробуйте сами

import express from 'express';
import { decodeJwt } from 'jose';
import { users } from './db.js';
import { hashPassword, verifyPassword } from './passwords.js';

const app = express();
app.use(express.json());

app.post('/signup', async (req, res) => {
    const username = String(req.body.username ?? '').trim().toLowerCase();
    const password = String(req.body.password ?? '');
    if (!username || password.length < 8) {
        return res.status(400).json({ error: 'Pick a username and a password of at least 8 characters' });
    }
    if (await users.findOne({ username })) {
        return res.status(409).json({ error: 'That username is taken' });
    }
    await users.insertOne({ username, passwordHash: await hashPassword(password) });
    res.status(201).json({ username });
});

app.post('/login', async (req, res) => {
    const username = String(req.body.username ?? '').trim().toLowerCase();
    const user = await users.findOne({ username });
    if (!user || !(await verifyPassword(String(req.body.password ?? ''), user.passwordHash))) {
        return res.status(401).json({ error: 'Wrong username or password' });
    }
    res.json({ username: user.username });
});

// Показывает содержимое токена: GET /inspect?token=...
app.get('/inspect', (req, res) => {
    try {
        res.json(decodeJwt(String(req.query.token ?? '')));
    } catch {
        res.status(400).json({ error: 'Not a JWT' });
    }
});

// Страница администратора. Ни одному утверждению нельзя доверять до проверки его подписи.
app.get('/admin', (req, res) => {
    res.status(403).json({ error: 'Admins only' });
});

app.listen(3000, () => {
    console.log('Vault is running on port 3000');
});

Все уроки раздела Аутентификация и безопасность

1Пароли

Байты и шестнадцатеричный текст Получение ключа пароля Новая соль Никогда не храните пароли Сравнение байтов ключа Проверка пароля Правила регистрации

4Владельцы и безопасность

Только ваши заметки Роли администратора

Заголовки безопасности

Подсчёт неудачных попыток Счётчик с истечением срока Ограничение частоты входов Ввод небезопасен

2Сессии и Cookies

Запоминание с помощью Cookies Поиск сессии Сессии входа Маршруты за входом в систему

Выход из системы

Флаги Cookies

3Токены

Что такое JWTПодписание токенов Урок-проект

Проверка токенов

Срок действия токена

Потренируйтесь самостоятельно: Песочница Express