Asegurando nuestra API e identificando rutas sensibles

Clase 29 de 43 • Curso de Express.js 2018

Clase anteriorSiguiente clase

Francisco Lopez Campos

student•

Aqui clases que ayudaran a la autentificacion con redes sociales

https://platzi.com/clases/1649-passport/22003-autenticacion-con-google-usando-openid-connect/

https://platzi.com/clases/1649-passport/22005-autenticacion-con-twitter/

https://platzi.com/clases/1649-passport/22006-autenticacion-con-facebook/

Dilan Santiago Ariza Cañon

student•

Gracias :)

Arantxa Giovanna Rosas Del Valle

student•

Archivo jwt.js

const passport = require(&quot;passport&quot;);
const { Strategy, ExtractJwt } = require(&quot;passport-jwt&quot;);
const boom = require(&quot;boom&quot;);
const { config } = require(&quot;../../../config&quot;);
const MongoLib = require(&quot;../../../lib/mongo&quot;);

passport.use(
  new Strategy(
    {
      secretOrKey: config.authJwtSecret,
      jwtFromRequest: ExtractJwt.fromAuthHeaderAsBearerToken()
    },
    async function(tokenPayload, cb) {
      const mongoDB = new MongoLib();

      try {
        const [user] = await mongoDB.getAll(&quot;users&quot;, {
          username: tokenPayload.sub
        });

        if (!user) {
          return cb(boom.unauthorized(), false);
        }

        return cb(null, user);
      } catch (error) {
        return cb(error);
      }
    }
  )
);

Genessis Jimenez

student•

Cuando se usa DELETE la variable productId queda con un identificador que ya no existe en la bd, así que se debe cambiar para poder usar esa variable en los otros request, entre las formas de automatizar eso me pareció mejor agregar el siguiente script en el POST (crear) product:

const jsonData = JSON.parse(responseBody); pm.environment.set("productId", jsonData.data);

Así cuando se hace POST se setea automáticamente la variable productId con el identificador del producto creado.

Otra forma es agregando un script en el DELETE para que haga una consulta a todos los product y le setee el primero eje: [product]

const url = pm.variables.get("url");
pm.sendRequest(url+"/api/products", function (err, response) {
    const [product] = response.json().data;
    if (product) {
        pm.environment.set("productId", product._id);
    }
});```

JAIME URQUIZU

student•

¿Puedes decir dónde exactamente iría ese código?

Henry Corredor

student•

virgen santa ... estoy mareado __ a ver cuando este desarrollando mi app les cuento cómo me va

Wilson Marino Pablo Mendez

student•

X2 en los últimos minutos del video jajajaja

Saul Felipe Ramirez

student•

¿porque el require del JWT Strategy no se almacena en una variable o constante? ¿acaso es otro tipo de requerir archivos?

Guillermo Rodas

teacher•

Cuando no se almacena en una variable o constante lo que estamos haciendo es simplemente ejecutar el codigo que se encuentra en ese archivo. En este caso lo que estamos haciendo es ejecutar la definición de la estrategia que posteriormente agregamos a Passport.js.

Carlos Enrique Ramírez Flores

student•

Guardar variable de entorno. También funciona de esta forma:

pm.environment.set(&quot;access_token&quot;, pm.response.json().access_token);

Chris X

student•

Todavia no entiendo el session : false que se define en el authenticate, ayuda D:

Axel David Espinosa Meneses

student•

Le pone session: false porque la API es un sistema tipo stateless. Es decir, la API no guarda información del usuario que se conecto, unicamente le interesa verificar que el usuario tenga el token correcto el cual usamos para la autentificación.

Derek Samuel Paúl Peña

student•

La configuración para los test en postman:

var jsonData = JSON.parse(responseBody);
postman.setEnvironmentVariable("access_token", jsonData.access_token);

Favio Náquira

student•

Sinceramente, este es un trucazo!! muy útil para poder sacarle el provecho a Postman

Francisco Soto

student•

Hola estimado,una consulta como puedo hacer para que mis peticiones utilizando fetch o axios desde mi backend a una API externa vallan actualizando cada vez que allan nuevos datos o cambios desde la API externa?.

Las peticiones están siempre a la escucha de los cambios?

Gracias

Schenier Aldair López Uriarte

student•

Si la APi es tuya puedes realizar tú mismo la conexión con tu backend para 'notificar' de que hay nuevos cambios. Si no es el caso lo suyo sería que estés constantemente haciendo 'fetch' a la APi para traer los datos, ¿El problema? Que se harían peticiones incluso cuando no hay cambios. La verdad esto es algo que yo también tengo en dudas en cómo se haría pero no le he encontrado ninguna otra manera, si ves que encuentras algo podrías también compartir algo de código para ver cómo lo has hecho. Saludos!

Armando Castro

student•

¿Como puedo envolver el Unauthorized que me devulve cuando el JWT es invalido en un error de boom?

Necesito que se muestre en un formato JSON gracias.

Guillermo Rodas

teacher•

Tienes que intervenir la respuesta de error tu mismo en el middleware. Busca la sesion** Custom Callbacks** aquí: http://www.passportjs.org/docs/

Alexis Alberto Texis Auza

student•

Hola,yo hago lo siguiente :

const express = require('express')
const router = express.Router()

const passport = require('passport')
const boom = require('boom')

const services = require('../services')
const products = new services()

require('../utils/auth/jwt')
router.get('/', async (req,res,next) => {
  passport.authenticate('jwt',(err,user) => {
    try 
    {
      if(err || !user)
      {
	//1) : Puedes devolver el error de boom pasandoselo a next(esto debería devolver un json) y opcionalmente mandar un mensaje como parametro a boom
         next(boom.unauthorized('No tienes autorizacion')
//*********************************************//
	// 2) : O puedes enviar un simple json 
	res.status(401).json({
          message : 'No tienes autorizacion',
          payload : []
        })
      }

      req.login(user,{session : false}, async err => {

        if(err)
        {
          next(err)
        }

        const products = await products.getAll()
        res.status(200).json({
          products
        })
      })
  
    }
    catch(e)
    {
      next(e)
    }
  })(req,res,next)
})


module.exports = router

Carlos Enrique Ramírez Flores

student•

A mi me funciona guardar la variable de entorno de la siguiente manera:

var JsonData = pm.response.json();
pm.environment.set(&quot;access_token&quot;, JsonData.access_token);

Damian Spizzirri

student•

Porque pone [user] ?? que hace esa anotacion con corchetes??

Cristian David Ippolito Carrillo

student•

Hola, es array destructuring, por ejemplo: const [ a ] = [ 1, 2, 3, 4, 5 ]; console.log(a); // va a mostrar 1

Eso quiere decir que a vale lo que tenga el arreglo en la posición 0.

Naldo Duran

student•

✌

Mauricio Hernan Cabrera

student•

Cargar variable de entorno de los datos de una respuesta

Esdras Benjamín Pavón

student•

Interesante

Carlos Enrique Ramírez Flores

student•

Guardar token en variable de entorno! Ojo es un marcador

Rigo Antonio Galicia Barrera

student•

Alguien me puede ayudar, me esta mostrando el siguiente error.

/Users/idt/Documents/Investigation/curso-platzi-express/node_modules/passport-jwt/lib/strategy.js:50
        throw new TypeError('JwtStrategy requires a verify callback');
        ^

TypeError: JwtStrategy requires a verify callback
    at new JwtStrategy (/Users/idt/Documents/Investigation/curso-platzi-express/node_modules/passport-jwt/lib/strategy.js:50:15)
    at Object.<anonymous> (/Users/idt/Documents/Investigation/curso-platzi-express/utils/auth/strategies/jwt.js:8:3)
    at Module._compile (internal/modules/cjs/loader.js:778:30)
    at Object.Module._extensions..js (internal/modules/cjs/loader.js:789:10)
    at Module.load (internal/modules/cjs/loader.js:653:32)

Raziel Carvajal

student•

Creo que te hace falta exportar la strategy de passport-jwt

const { Strategy, ExtractJwt } = require('passport-jwt')

jorge llanque

student•

¿Se pueden hacer las autenticaciones sólo usando jwt?

Nicolas Cubillos Pardo

student•

Claro, pere es un sistema pensado para las apis mas que todo.

Emmanuel Rodríguez

student•

Dentro del contexto Arquitecutra Cliente-Servidor, los tokens de acceso, sin diferentes a los tokens de sesión tan solo por el hecho diferencial de contextos: ¿Autenticación es igual que Autorización? Con los JWT validas el cliente que realiza la petición, pero no aquel usuario que "realmente" realiza la petición (que es el caso del protocolo SSH), por ello se dicen que el servidor es tipo Serverless. Es posible, sí, pero no debiera ser la única forma de validación de identidad.

Jesús Manuel Mejía Rojas

student•

Yo utilizo thunderclient en vscode a si se setean cosas en el environment

Emmanuel Rodríguez

student•

Al tratarse de autenticaciones basadas en Passport, necesitamos contemplar 3 elementos:

Definición de entornos de trabajo

    authAdminUsername: process.env.AUTH_ADMIN_USERNAME,
    authAdminPassword: process.env.AUTH_ADMIN_PASSWORD,
    authAdminEmail: process.env.AUTH_ADMIN_EMAIL,
    authJWTSecret: process.env.AUTH_JWT_SECRET

La configuración

passport.use(
    new Strategy(options, async (tokenPayload, done) => {
        try {
            const { email } = tokenPayload;
            const [user] = await service.getResource({ email });
            if (!user)
                return done(
                    new ServerError(
                        'error authentication',
                        401,
                        'ClientError'
                    ).response('Unauthorized'),
                    false
                );
            return done(null, user);
        } catch (error) {
            return done(error);
        }
    })
);

Asociarlas como middlewares

router.get(
    '/:filter',
    validation(filterUserSchema, 'params'),
    async (req, res, next) => {
        try {
            const [user] = await service.getResource(req.params);
            Response.success('user listed');

            res.status(200).send(user);
        } catch (error) {
            next(error);
        }
    }
);