如何用护照保护快递中的静态文件夹

Question

我有一个基于 express 的项目，需要基于护照的身份验证。

后台是一个用作静态文件的 angularjs 应用程序。

我的验证码完全基于https://github.com/jaredhanson/passport-local/blob/master/examples/express3-no-connect-flash/app.js

如果您未通过身份验证，请不要为 Angular 应用程序提供服务。我尝试在 /admin 路由上添加 ensureAuthenticated ，但它使路由不起作用（404）。一旦我删除了 ensureAuthenticated，就会提供 /admin。

app.use(express.static(path.join(__dirname, 'public')));
app.use('/admin', ensureAuthenticated, express.static(path.join(__dirname, 'admin')));
//serve routes
app.use(app.router);

公用文件夹包含登录页面。

我怎样才能做到这一点？

Answer 1

遇到了同样的问题，这就是我最终要做的！

app.use 不允许您以这种方式链接中间件。各种种类 app.VERB 函数可以，但 app.use 不可以。这是一个中间件 一次。

如果您将 2 个中间件拆分为单独的调用，您应该得到 你想要的结果：

app.use('/admin', ensureAuthenticated);
app.use('/admin', express.static(path.join(__dirname, 'admin')));

Cannot use basic authentication while serving static files using express

Answer 2

您可以使用中间件检查路由并在他们未登录并访问管理页面时重定向它们，例如（未经测试）：

app.use(function(req, res, next) {
    if (req.user == null && req.path.indexOf('/admin') === 0)
    {
        res.redirect('/login');
    }
    next(); 
});

Answer 3

app.use('/admin', function(req,res,next){
 if(req.user){
   return express.static(path.join(__dirname, 'public'));
 } else {
   res.render(403, 'login', {message:'Please, login!'});
 }
});

//serve routes
app.use(app.router);

Answer 4

express@4.16.4+、passport-jtw@0.4.0 和 passport-jwt@4.0.0 的更新

首先设置一个护照身份验证策略。如果使用 jwt，则可以从查询参数中获取标记，否则可以使用另一个提取函数（或多个使用 Jwt.ExtractJwt.fromExtractors()）

passport.use('basic-user',
    new Jwt.Strategy({
        ...jwtConfig.options,
        jwtFromRequest: Jwt.ExtractJwt.fromUrlQueryParameter('token')
    }, verifyUser)
);

然后您可以在提供静态文件之前使用护照身份验证功能

app.use('/files', [
    passport.authenticate(['basic-user'], { session: false }),
    express.static(path.join(__dirname, 'files')) //make sure you access proper directory
])

Answer 5

接受的答案感觉有点片面（在某些情况下可能不起作用），所以这里有一个更冗长和笼统的答案：

// Here we'll attach the user object. The correct ordering 
// of these middleware functions is important.
app.use(
  '/some-restricted-static-path',
  passport.authenticate("bearer", { session: false })
);

// As the user object should now be attached (if authorized), we can now
// verify it to be so.
app.use('/some-restricted-static-path', (req, res, next) => {
  if (!!req.user) {
    // The user exists, we can continue.
    // Here you can also validate the role etc if necessary.
    next();
  } else {
    // No user object found, terminate the pipeline with .end().
    res.status(401).end();
  }
});

// And finally, here's the actual handler that won't be accessed if 
// something went wrong earlier.
app.use(
  '/some-restricted-static-path',
  express.static(
    path.join(
      __dirname,
      "../dist/attachments"
    )
  )
);

解释：在 Express 中，中间件是一个一个处理的。如果其中一个中间件终止该进程，则将跳过它之后的每个中间件。因此，知道这一点后，我们可以先附加用户对象，然后对其进行验证，最后授予或拒绝访问。

Answer 6

您还可以将中间件链接为数组来实现此目标：

app.use('/admin', [ensureAuthenticated, express.static(path.join(__dirname, 'admin'))]);