使用 jwt 进行身份验证后验证用户操作

Question

我有一个带有 firebase 身份验证的应用程序。现在我有一个问题，任何拥有有效 jwt 的用户都可以访问任何其他人的用户数据。

例如，我可以使用有效的 jwt 向我的一个端点（即“photos/user/{id}”）发出请求，并将任何 {id} 传递给端点，我将收到该用户的数据。在我的例子中，我们通过系统内的电子邮件识别用户。而且我可以成功地从令牌中检索用户的电子邮件。但主要问题是 - 我现在是否需要将从令牌收到的电子邮件传递给每个服务，所以我可以检查它实际上是令牌所有者试图访问他的数据，而不是其他拥有有效令牌的人。到目前为止，我已经尝试为授权属性创建自定义策略，但是需要处理的案例太多，我想它最终会变得非常脆弱

Answer 1

您应该将端点更改为 photos/user 并将令牌传递给标头中的操作。

然后您可以使用令牌从令牌中检索正确的用户并返回通过令牌认证的用户的详细信息，然后可以将相同的应用到任何其他端点，不要传入用户 ID但是使用令牌从身份验证令牌中获取用户ID