登录后才能访问的路由

本课属于 Coddy Node.js 学习旅程的“身份验证与安全”单元。第 11 课，共 24 课。

每个私有路由都需要通过 GET /me 查询会话。如果把查询代码复制到每个路由中，总有一次会忘记，这样那个路由就会对所有人开放。把它写成中间件，只写一次。

中间件会在路由运行前执行。当它把某些内容放到 req 上，例如 req.user，路由就从那里读取。用户的 _id 是一个 ObjectId；user._id.toHexString() 会将它转换为文本。中间件要么返回响应并停止执行，要么把找到的内容放到 req 上，然后调用 next()。把它传给每个需要它的路由，并放在处理函数之前：

function requireAdult(req, res, next) {
    if (Number(req.query.age) < 18) {
        return res.status(403).json({ error: 'Adults only' });
    }
    req.adult = true;
    next();
}

app.get('/wines', requireAdult, (req, res) => res.json(wines));

这里的 return 很重要：没有它，路由也会继续运行。

挑战

简单

笔记仍然对所有人开放。将它们设为私密：只有已登录的用户才能读取或添加笔记，而且每个用户只能看到自己的笔记。

在 server.js 中编写一个中间件函数 requireUser(req, res, next)。将会话查找从 GET /me 移到这个函数中：读取 sid Cookie，查找会话，然后查找对应的用户。
- 如果没有这样的用户，返回状态码 401 和 {"error": "Log in first"}，然后停止处理。
- 否则，将用户作为 req.user 放到请求中。它是一个有两个字段的对象，然后调用 next()。这两个字段是 id，即用户的 _id 的文本形式，以及 username。ObjectId 的 toHexString() 方法会返回其文本形式，例如 "66f1c2a9e4b0a1b2c3d4e5f6"。
将 requireUser 传给 GET /me、GET /notes 和 POST /notes，放在每个路由自身的函数之前。然后，GET /me 会从 req.user 中读取数据，并返回 {"username": "ada"}。
在 POST /notes 中，为每条笔记保存一个 owner 字段，其值为 req.user.id。响应是新笔记：{"owner": "66f1c2a9e4b0a1b2c3d4e5f6", "text": "Door code 1234", "_id": "66f1c2b0e4b0a1b2c3d4e5f7"}
在 GET /notes 中，只返回 owner 是当前登录用户的笔记。

试一试：按下“运行”。发送 GET /notes：状态码为 401，并返回 {"error": "Log in first"}。发送 POST /signup，然后发送 POST /login，两次都使用 {"username": "ada", "password": "correct horse"}。使用 {"text": "Door code 1234"} 发送 POST /notes：状态码为 201，并返回带有 owner 的笔记。发送 GET /notes：返回包含这条笔记的列表。现在使用 {"username": "bob", "password": "correct horse"} 注册并登录。GET /notes 会返回 []，因为 bob 还没有写过任何笔记。

亲手试试

import express from 'express';
import { randomBytes } from 'node:crypto';
import { parseCookies } from './cookies.js';
import { notes, sessions, users } from './db.js';
import { hashPassword, verifyPassword } from './passwords.js';

const app = express();
app.use(express.json());

app.post('/signup', async (req, res) => {
    const username = String(req.body.username ?? '').trim().toLowerCase();
    const password = String(req.body.password ?? '');
    if (!username || password.length < 8) {
        return res.status(400).json({ error: 'Pick a username and a password of at least 8 characters' });
    }
    if (await users.findOne({ username })) {
        return res.status(409).json({ error: 'That username is taken' });
    }
    await users.insertOne({ username, passwordHash: await hashPassword(password) });
    res.status(201).json({ username });
});

app.post('/login', async (req, res) => {
    const username = String(req.body.username ?? '').trim().toLowerCase();
    const user = await users.findOne({ username });
    if (!user || !(await verifyPassword(String(req.body.password ?? ''), user.passwordHash))) {
        return res.status(401).json({ error: 'Wrong username or password' });
    }
    const sid = randomBytes(24).toString('base64url');
    await sessions.insertOne({ _id: sid, userId: user._id, createdAt: new Date() });
    res.cookie('sid', sid, { httpOnly: true });
    res.json({ username: user.username });
});

app.get('/me', async (req, res) => {
    const { sid } = parseCookies(req.get('cookie'));
    const session = sid && (await sessions.findOne({ _id: sid }));
    if (!session) {
        return res.status(401).json({ error: 'Log in first' });
    }
    const user = await users.findOne({ _id: session.userId });
    res.json({ username: user.username });
});

// 统计这个浏览器调用 GET /visit 的次数。
app.get('/visit', (req, res) => {
    const cookies = parseCookies(req.get('cookie'));
    const visits = Number(cookies.visits ?? 0) + 1;
    res.cookie('visits', String(visits));
    res.json({ visits });
});

// 笔记。目前任何人都可以读取和写入。
app.get('/notes', async (req, res) => {
    res.json(await notes.find().toArray());
});

app.post('/notes', async (req, res) => {
    const note = { text: String(req.body.text ?? '') };
    await notes.insertOne(note);
    res.status(201).json(note);
});

app.listen(3000, () => {
    console.log('Vault is running on port 3000');
});

自我测试

这节课包含一个小测验。开始学习即可作答，并记录你的进度。

身份验证与安全中的所有课

自己练习： Express 在线编辑器