使用 Passport.js 验证角色和身份验证

Question

所以我想在 API 中创建一些路由，这些路由将根据 MongoDB 中定义的用户角色显示不同的数据。这是我现在拥有的样本，它可以工作......

router.get('/test', passport.authenticate('bearer', {session: false}), function (req, res) {
    if (req.user.role == "premium") {
        return res.send('you can see this content');
    }
    else {
        return res.send('you can not see this content');
    }
})

不过，最终目标是至少向用户展示一些东西，即使他们没有登录或使用正确的角色进行身份验证。

router.get('/test', passport.authenticate('bearer', {session: false}), function (req, res) {
    if (req.user.role == "premium") {
        return res.send('this is premium content');
    }
    else {
        // could be hit by another role, or no user at all
        return res.send([some truncated version of the premium content]);
    }
})

我想我会弄清楚如何工作，但我不知道如何指定在请求中没有任何 Authorization 标头的情况下可能会被命中的相同路由。

这在 Passport.js/Express 中可行吗？

Answer 1

解决方案是限制视图中的内容而不是路由。

router.get('/test', authenticationMiddleware, function(req, res){
    var premiumFlag = req.user.role;
    res.send('premiumontent', {role: premiumFlag});
});

premiumContent.jade

p This content is visible to all users

- if role === "premium"
    p this content is only visible to premium users

Answer 2

我找到的解决方案是使用Passportjs.org 文档的改编版。

在我需要返回数据的路由中，无论用户是否登录，我都可以使用类似的东西：

// Test to check for authentication
app.get('/login', function(req, res, next) {
  passport.authenticate('bearer', function(err, user, info) {
    if (user)
        // check user's role for premium or not
        if (user.role == "premium")
            return res.send('user is premium')
        else
            return res.send('user is not premium');
    else
        // return items even if no authentication is present, instead of 401 response
            return res.send('not logged in');
  })(req, res, next);
});

Answer 3

我建议您使用 HTTP 状态代码和错误对象，这是一种常见的 API 约定，它可以让您的 API 用户知道发生了什么以及为什么：

app.get('/premium-resource', function(req, res, next) {
  passport.authenticate('bearer', function(err, user) {
    if (user){
      if (user.role === 'premium'){
        return res.send(200,{userContent:'you are a premium user'});
      }else{
        return res.send(403,{
          'status': 403,
          'code': 1, // custom code that makes sense for your application
          'message': 'You are not a premium user',
          'moreInfo': 'https://myawesomeapi.io/upgrade'
        });
      }
    }else{
      return res.send(401,{
        'status': 401,
        'code': 2, // custom code that makes sense for your application
        'message': 'You are not authenticated.',
        'moreInfo': 'https://myawesomeapi.io/docs'
      });
    }
  })(req, res, next);
});

免责声明：我在Stormpath 工作，我们在 API 身份验证和设计方面投入了很多心思，我们对此主题进行了真正的演示：

https://stormpath.com/blog/designing-rest-json-apis/