Configuración y uso de Passport.js

Clase 28 de 43 • Curso de Express.js 2018

Daniel Quispe

student•

Para evitar la fatiga

npm i -S passport passport-http passport-jwt jsonwebtoken bcrypt

Arantxa Giovanna Rosas Del Valle

student•

Archivo de configuración

authAdminUsername: process.env.AUTH_ADMIN_USERNAME,
  authAdminPassword: process.env.AUTH_ADMIN_PASSWORD,
  authAdminEmail: process.env.AUTH_ADMIN_EMAIL,
  authJwtSecret: process.env.AUTH_JWT_SECRET

Archivo env

// AUTH

AUTH_ADMIN_USERNAME=
AUTH_ADMIN_PASSWORD=
AUTH_ADMIN_EMAIL=
AUTH_JWT_SECRET=

Juan Camilo Angel Fandiño

student•

Para generar el JWT_SECRET:

node -e "console.log(require('crypto').randomBytes(256).toString('base64'));"```

Arantxa Giovanna Rosas Del Valle

student•

Archivo basic.js

const passport = require(&quot;passport&quot;);
const { BasicStrategy } = require(&quot;passport-http&quot;);
const boom = require(&quot;boom&quot;);
const bcrypt = require(&quot;bcrypt&quot;);
const MongoLib = require(&quot;../../../lib/mongo&quot;);

passport.use(
  new BasicStrategy(async function(username, password, cb) {
    const mongoDB = new MongoLib();

    try {
      const [user] = await mongoDB.getAll(&quot;users&quot;, { username });

      if (!user) {
        return cb(boom.unauthorized(), false);
      }

      if (!(await bcrypt.compare(password, user.password))) {
        return cb(boom.unauthorized(), false);
      }

      return cb(null, user);
    } catch (error) {
      return cb(error);
    }
  })
);

Arantxa Giovanna Rosas Del Valle

student•

Les dejo esta página que permite generar llaves de todo tipo de manera aleatoria

Arantxa Giovanna Rosas Del Valle

student•

Archivo auth.js

const express = require(&quot;express&quot;);
const passport = require(&quot;passport&quot;);
const boom = require(&quot;boom&quot;);
const jwt = require(&quot;jsonwebtoken&quot;);
const api = express.Router();

const { config } = require(&quot;../../config&quot;);

// Basic strategy
require(&quot;../../utils/auth/strategies/basic&quot;);

api.post(&quot;/token&quot;, async function(req, res, next) {
  passport.authenticate(&quot;basic&quot;, function(error, user) {
    try {
      if (error || !user) {
        next(boom.unauthorized());
      }

      req.login(user, { session: false }, async function(error) {
        if (error) {
          next(error);
        }

        const payload = { sub: user.username, email: user.email };
        const token = jwt.sign(payload, config.authJwtSecret, {
          expiresIn: &quot;15m&quot;
        });

        return res.status(200).json({ access_token: token });
      });
    } catch (error) {
      next(error);
    }
  })(req, res, next);
});

module.exports = api;

Diego Andres Cabrera Rojas

student•

Porque en la clases anteriores taparon los datos de .env de mongo y en esta se ven dichos datos ?

Héctor Martínez Reséndiz

student•

Se les paso!

Luis Gerardo López Hernández

student•

porque las otras variables de mongo eran mas delicadas, aqui de nada te sirve saber la informacion del usuario admin porque nunca vas a usar esta aplicacion que hizo el profe

Andres Leonardo Arevalo

student•

https://keygen.io

Gloriq Lopez

student•

Les lanzo un Tip: Estamos aquí aprender un framework ¿no?, por ende practiquemos a pesar de que nos equivoquemos. Lo que hago es que en vez de copiar el código del profe, lo tratro de implementar yo misma, como en la sección de que corres un archivo y te devuelve que el usuario ya fue creado y si no lo crea. Aquí mi código imperfecto :)

const { config } = require('../../config');
const MongoLib = require('../../lib/mongo');
const mongodb = new MongoLib();
const chalk = require('chalk');
const bcrypt = require('bcrypt');
const log = console.log;

async function encryption(pass){
    const encrypted = await bcrypt.hash(pass, 10);
    return encrypted
}
async function creteUser(){
    user = {
        'name': config.authAdmin,
        'email': config.authAdminEmail,
        'password': await encryption(config.authAminPassword)
    }
    return await mongodb.create('users', user )
}

async function getUser(){
 const user = await mongodb.getAll('users', 
 {name : config.authAdmin});

    return user.length
}

async function viewUser(){ 
    const user = await  getUser() 

    if(user){
    log(chalk.blue('Admin user already exits'))
    process.exit(1);
    }

  const newUser= await creteUser()
    log(chalk.green('user created with id NewUser ', newUser));
    process.exit(0);
};

viewUser()

Carlos Eduardo Rodríguez Arrivillaga

student•

Que tal, alguien mas ha tenido problemas al instalar bcrypt?

Al ejecutar el comando me aparece este error. Es algo largo pero bueno x.x

`> bcrypt@3.0.3 install C:\xampp\htdocs\platzi-expressjs\ecommerce\node_modules\bcrypt

node-pre-gyp install --fallback-to-build

node-pre-gyp WARN Using needle for node-pre-gyp https download
node-pre-gyp WARN Tried to download(404):
node-pre-gyp WARN Pre-built binaries not found for bcrypt@3.0.3 and node@8.11.2 (node-v57 ABI, unknown) (falling back to source compile with node-gyp)
gyp ERR! configure error
gyp ERR! stack Error: Command failed: C:\Users\Carlos\AppData\Local\Programs\Python\Python36-32\python.EXE -c import sys; print “%s.%s.%s” % sys.version_info[:3];
gyp ERR! stack File “<string>”, line 1
gyp ERR! stack import sys; print “%s.%s.%s” % sys.version_info[:3];
gyp ERR! stack ^
gyp ERR! stack SyntaxError: invalid syntax
gyp ERR! stack
gyp ERR! stack at ChildProcess.exithandler (child_process.js:275:12)
gyp ERR! stack at emitTwo (events.js:126:13)
gyp ERR! stack at ChildProcess.emit (events.js:214:7)
gyp ERR! stack at maybeClose (internal/child_process.js:925:16)
gyp ERR! stack at Process.ChildProcess._handle.onexit (internal/child_process.js:209:5)
gyp ERR! System Windows_NT 10.0.17134
gyp ERR! command “C:\Program Files\nodejs\node.exe” “C:\Users\Carlos\AppData\Roaming\npm\node_modules\npm\node_modules\node-gyp\bin\node-gyp.js” “configure” “–fallback-to-build” “–module=C:\xampp\htdocs\platzi-expressjs\ecommerce\node_modules\bcrypt\lib\binding\bcrypt_lib.node” “–module_name=bcrypt_lib” “–module_path=C:\xampp\htdocs\platzi-expressjs\ecommerce\node_modules\bcrypt\lib\binding” “–napi_version=3” “–node_abi_napi=napi” “–napi_build_version=0” "–node_napi_label=node-v57"
gyp ERR! cwd C:\xampp\htdocs\platzi-expressjs\ecommerce\node_modules\bcrypt
gyp ERR! node -v v8.11.2
gyp ERR! node-gyp -v v3.8.0
gyp ERR! not ok
node-pre-gyp ERR! build error
node-pre-gyp ERR! stack Error: Failed to execute ‘C:\Program Files\nodejs\node.exe C:\Users\Carlos\AppData\Roaming\npm\node_modules\npm\node_modules\node-gyp\bin\node-gyp.js configure --fallback-to-build --module=C:\xampp\htdocs\platzi-expressjs\ecommerce\node_modules\bcrypt\lib\binding\bcrypt_lib.node --module_name=bcrypt_lib --module_path=C:\xampp\htdocs\platzi-expressjs\ecommerce\node_modules\bcrypt\lib\binding --napi_version=3 --node_abi_napi=napi --napi_build_version=0 --node_napi_label=node-v57’ (1)
node-pre-gyp ERR! stack at ChildProcess.<anonymous> (C:\xampp\htdocs\platzi-expressjs\ecommerce\node_modules\bcrypt\node_modules\node-pre-gyp\lib\util\compile.js:83:29)
node-pre-gyp ERR! stack at emitTwo (events.js:126:13)
node-pre-gyp ERR! stack at ChildProcess.emit (events.js:214:7)
node-pre-gyp ERR! stack at maybeClose (internal/child_process.js:925:16)
node-pre-gyp ERR! stack at Process.ChildProcess._handle.onexit (internal/child_process.js:209:5)
node-pre-gyp ERR! System Windows_NT 10.0.17134
node-pre-gyp ERR! command “C:\Program Files\nodejs\node.exe” “C:\xampp\htdocs\platzi-expressjs\ecommerce\node_modules\bcrypt\node_modules\node-pre-gyp\bin\node-pre-gyp” “install” "–fallback-to-build"
node-pre-gyp ERR! cwd C:\xampp\htdocs\platzi-expressjs\ecommerce\node_modules\bcrypt
node-pre-gyp ERR! node -v v8.11.2
node-pre-gyp ERR! node-pre-gyp -v v0.12.0
node-pre-gyp ERR! not ok
Failed to execute ‘C:\Program Files\nodejs\node.exe C:\Users\Carlos\AppData\Roaming\npm\node_modules\npm\node_modules\node-gyp\bin\node-gyp.js configure --fallback-to-build --module=C:\xampp\htdocs\platzi-expressjs\ecommerce\node_modules\bcrypt\lib\binding\bcrypt_lib.node --module_name=bcrypt_lib --module_path=C:\xampp\htdocs\platzi-expressjs\ecommerce\node_modules\bcrypt\lib\binding --napi_version=3 --node_abi_napi=napi --napi_build_version=0 --node_napi_label=node-v57’ (1)
npm WARN ecommerce@1.0.0 No description
npm WARN ecommerce@1.0.0 No repository field.
npm WARN optional SKIPPING OPTIONAL DEPENDENCY: fsevents@1.2.4 (node_modules\fsevents):
npm WARN notsup SKIPPING OPTIONAL DEPENDENCY: Unsupported platform for fsevents@1.2.4: wanted {“os”:“darwin”,“arch”:“any”} (current: {“os”:“win32”,“arch”:“x64”})

npm ERR! code ELIFECYCLE
npm ERR! errno 1
npm ERR! bcrypt@3.0.3 install: node-pre-gyp install --fallback-to-buildnpm ERR! Exit status 1
npm ERR!
npm ERR! Failed at the bcrypt@3.0.3 install script.
npm ERR! This is probably not a problem with npm. There is likely additional logging output above.
npm ERR! A complete log of this run can be found in:
npm ERR! C:\Users\Carlos\AppData\Roaming\npm-cache_logs\2019-01-13T03_57_45_176Z-debug.log`

Gracias de antemano.

Carlos Eduardo Rodríguez Arrivillaga

student•

Para los que tengan un error igual o similar a este, estuve buscando en Google y vi que recomendaban esta dependencia

Aparentemente es la misma que la que se usa en el video

Carlos Alberto Hernandez Rodriguez

student•

Compañero primero debes ingresar al powershell o al cmd en modo administrador y ejecutar este codigo:

npm install --global --production windows-build-tools

y luego si instalar bcrypt cualquier info aqui esta :

Cristian Alejandro Muñoz Cardona

student•

Me es muy molesto cuando aceleran el vídeo mientras se escribe el código, entiendo que de cierto modo es mas eficiente explicarlo después de escrito, pero al menos yo entiendo más cuando a medida que lo escriben van contando qué hace cada linea.

Willian de la Espriella

student•

si el tiempo de expiración maximo del jwt debe ser de 15m, como se pueden mantener la session de usuarios en ejemplo una app movil?, para que el usuario no tenga que logearse a cada rato

Angel Hernandez

student•

Fácil :D lo que debes hacer es actualizar el token cada vez que el usuario envíe o reciba información, de esta manera el token solo se vencerá cuando el usuario por ejemplo cierre la app o se quede sin Internet, se vencerán los 15 minutos, el token no será actualizado y deberá iniciar sesión de nuevo

Guillermo Rodas

teacher•

Hola @willian-de-la-espriella para ellos lo que puedes usar es refresh tokens:

https://auth0.com/docs/tokens/refresh-token/current https://oauth.net/2/grant-types/refresh-token/

Emmanuel Rodríguez

student•

Es un middleware de autenticación para Node.JS, diseñado para validar la autenticación de las peticiones.

Definiciones claves

Strategies

Son mecanismos definidos como paquetes individuales empleados para crear complejos mecanismos de autenticación complejos con un enfoque desentralizado.

app.post('/login', 
	passport
		.authenticate(
				'local', 
					{ successRedirect: '/',
              failureRedirect: '/login' }));

Verify Callback

Es la acción correlacionada con un proceso en sí mismo.

Cuando las credenciales son válidas

return done(null, user);

Cuando las credenciales no son válidas

return done(null, false);

Cuando las credenciales no son válidas y se desea retornar un mensaje

return done(null, false, { message: 'Incorrect password.' });

Cuando sucede un error

return done(err);

Middleware Siendo un proceso de validación de middleware, para express se debe indicar que se usará passport como un middleware adicional.

app.use(passport.initialize());

SUMMARY: Passport posee una simple pero poderosa capa de autenticación para nuestras aplicaciones o entorno de software, permitiéndonos afrontar múltiples estrategias operables con un backend estructurado con middleware, como lo es Express.JS

Arantxa Giovanna Rosas Del Valle

student•

Archivo seed-admin.js

const bcrypt = require(&quot;bcrypt&quot;);
const chalk = require(&quot;chalk&quot;);
const MongoLib = require(&quot;../../lib/mongo&quot;);
const { config } = require(&quot;../../config&quot;);

function buildAdminUser(password) {
  return {
    password,
    username: config.authAdminUsername,
    email: config.authAdminEmail
  };
}

async function hasAdminUser(mongoDB) {
  const adminUser = await mongoDB.getAll(&quot;users&quot;, {
    username: config.authAdminUsername
  });

  return adminUser &amp;&amp; adminUser.length;
}

async function createAdminUser(mongoDB) {
  const hashedPassword = await bcrypt.hash(config.authAdminPassword, 10);
  const userId = await mongoDB.create(&quot;users&quot;, buildAdminUser(hashedPassword));
  return userId;
}

async function seedAdmin() {
  try {
    const mongoDB = new MongoLib();

    if (await hasAdminUser(mongoDB)) {
      console.log(chalk.yellow(&quot;Admin user already exists&quot;));
      return process.exit(1);
    }

    const adminUserId = await createAdminUser(mongoDB);
    console.log(chalk.green(&quot;Admin user created with id:&quot;, adminUserId));
    return process.exit(0);
  } catch (error) {
    console.log(chalk.red(error));
    process.exit(1);
  }
}

seedAdmin();

Andres Roberto Coello Goyes

student•

const boom = require("@hapi/boom");

Saul Felipe Ramirez

student•

¿Cuál es la mejor práctica para actualizar el token automáticamente? ¿Eso de cambiar el token cada vez que se pida info o se envié es válido? ¿No es bastante costoso y haría más lento todos los servicios?

Guillermo Rodas

teacher•

Si, es una manera de hacerlo, hay una tecnica que se llama refresh tokens o otra llamada Silent Auth. Aquí hay un ejemplo de refresh tokens: https://solidgeargroup.com/refresh-token-with-jwt-authentication-node-js

Carlos Alberto Brignardello Cerda

student•

A quien le parecio buena idea acelerar el código del curso?

Jorge Jorge Marrero

student•

Holla, tal vez a alguien le suceda, yo tube que modificar el codigo del api/auth.js debido a que cuando el usuario estaba mal me salia (node:32704) UnhandledPromiseRejectionWarning: TypeError: Cannot read property 'username' of undefined

api.post("/token", async function(req, res, next) {
  passport.authenticate("basic", function(error, user) { 
    try {
      if (error || !user) {
        next(boom.unauthorized());
        return res.status(401).json({ error: "Unauthorized" });
      }else{
        req.login(user, { session: false }, async function(error) {
          if (error) {
            next(error);
          }
          const payload = { sub: user.username, email: user.email };
          const token = jwt.sign(payload, config.authJwtSecret, {
            expiresIn: "15m"
          });

          return res.status(200).json({ access_token: token });
        });

      }
    } catch (error) {
      next(error);
    }
  })(req, res, next);
});

Huascar Adolfo Miranda Martinez

student•

pero para que poner return res.status ... (si con next(boom.unathorized) ya estamos enviando el error al errorHandlers)

yo simplemente puse return;


api.post('/token', (req, res, next)=>{
	passport.authenticate('basic', (err, user)=>{
		try {
			if(err || !user){
				next(boom.unauthorized());
				return;
			}

Said Cortes Calderon

student•

Al ver la documentacion de boom dicen que el módulo se ha movido y ahora está disponible en @hapi / boom. como puedo Actualizar las dependencias? ya que esta versión ya no se mantiene y puede contener errores y problemas de seguridad.

Guillermo Rodas

teacher•

Tendrias que remover boom con npm remove boom, instalar esta nueva version: npm install @hapi/boom remplazar donde la estes importando ahora por @hapi/boom: import boom from '@hapi/boom'

Andrés Felipe Castañeda

student•

Tener cuidado con la informacion de validaciones que les damos a los usuarios (usuario incorrecto, usuario correcto pero contraseña incorrecta, etc)

const passport = require(&quot;passport&quot;);
const { BasicStrategy } = require(&quot;passport-http&quot;);
const boom = require(&quot;boom&quot;);
const bcrypt = require(&quot;bcrypt&quot;);
const MongoLib = require(&quot;../../../lib/mongo&quot;);

passport.use(
  new BasicStrategy(async function(username, password, cb) {
    const mongoDB = new MongoLib();

    try {
      const [user] = await mongoDB.getAll(&quot;users&quot;, { username });

      if (!user) {
        return cb(boom.unauthorized(), false);
      }

      if (!(await bcrypt.compare(password, user.password))) {
        return cb(boom.unauthorized(), false);
      }

      return cb(null, user);
    } catch (error) {
      return cb(error);
    }
  })
);

const express = require(&quot;express&quot;);
const passport = require(&quot;passport&quot;);
const boom = require(&quot;boom&quot;);
const jwt = require(&quot;jsonwebtoken&quot;);
const api = express.Router();

const { config } = require(&quot;../../config&quot;);

// Basic strategy
require(&quot;../../utils/auth/strategies/basic&quot;);

api.post(&quot;/token&quot;, async function(req, res, next) {
  passport.authenticate(&quot;basic&quot;, function(error, user) {
    try {
      if (error || !user) {
        next(boom.unauthorized());
      }

      req.login(user, { session: false }, async function(error) {
        if (error) {
          next(error);
        }

        const payload = { sub: user.username, email: user.email };
        const token = jwt.sign(payload, config.authJwtSecret, {
          expiresIn: &quot;15m&quot;
        });

        return res.status(200).json({ access_token: token });
      });
    } catch (error) {
      next(error);
    }
  })(req, res, next);
});

module.exports = api;

const { config } = require('../../config');
const MongoLib = require('../../lib/mongo');
const mongodb = new MongoLib();
const chalk = require('chalk');
const bcrypt = require('bcrypt');
const log = console.log;

async function encryption(pass){
    const encrypted = await bcrypt.hash(pass, 10);
    return encrypted
}
async function creteUser(){
    user = {
        'name': config.authAdmin,
        'email': config.authAdminEmail,
        'password': await encryption(config.authAminPassword)
    }
    return await mongodb.create('users', user )
}

async function getUser(){
 const user = await mongodb.getAll('users', 
 {name : config.authAdmin});

    return user.length
}

async function viewUser(){ 
    const user = await  getUser() 

    if(user){
    log(chalk.blue('Admin user already exits'))
    process.exit(1);
    }

  const newUser= await creteUser()
    log(chalk.green('user created with id NewUser ', newUser));
    process.exit(0);
};

viewUser()

const bcrypt = require(&quot;bcrypt&quot;);
const chalk = require(&quot;chalk&quot;);
const MongoLib = require(&quot;../../lib/mongo&quot;);
const { config } = require(&quot;../../config&quot;);

function buildAdminUser(password) {
  return {
    password,
    username: config.authAdminUsername,
    email: config.authAdminEmail
  };
}

async function hasAdminUser(mongoDB) {
  const adminUser = await mongoDB.getAll(&quot;users&quot;, {
    username: config.authAdminUsername
  });

  return adminUser &amp;&amp; adminUser.length;
}

async function createAdminUser(mongoDB) {
  const hashedPassword = await bcrypt.hash(config.authAdminPassword, 10);
  const userId = await mongoDB.create(&quot;users&quot;, buildAdminUser(hashedPassword));
  return userId;
}

async function seedAdmin() {
  try {
    const mongoDB = new MongoLib();

    if (await hasAdminUser(mongoDB)) {
      console.log(chalk.yellow(&quot;Admin user already exists&quot;));
      return process.exit(1);
    }

    const adminUserId = await createAdminUser(mongoDB);
    console.log(chalk.green(&quot;Admin user created with id:&quot;, adminUserId));
    return process.exit(0);
  } catch (error) {
    console.log(chalk.red(error));
    process.exit(1);
  }
}

seedAdmin();

api.post("/token", async function(req, res, next) {
  passport.authenticate("basic", function(error, user) { 
    try {
      if (error || !user) {
        next(boom.unauthorized());
        return res.status(401).json({ error: "Unauthorized" });
      }else{
        req.login(user, { session: false }, async function(error) {
          if (error) {
            next(error);
          }
          const payload = { sub: user.username, email: user.email };
          const token = jwt.sign(payload, config.authJwtSecret, {
            expiresIn: "15m"
          });

          return res.status(200).json({ access_token: token });
        });

      }
    } catch (error) {
      next(error);
    }
  })(req, res, next);
});

Configuración y uso de Passport.js

Bienvenida e introducción

¿Dónde aprender Express.js actualizado?

Lo que aprenderás sobre Express.js

¿Qué es express y para qué sirve?

Creando tu primer servidor

Express application generator

Template Engines y archivos estáticos

Qué es template engine y cómo crearlo

Implementando un template engine

Usando Pug como template engine

Usando Handlebars como template engine

Creando nuestro layout de productos usando Pug

Manejo de archivos estáticos

Creando un API Restful

Anatomía de una API RESTful e implementación CRUD

Implementando nuestra capa de Servicios

Recapitulando el proyecto

Request object

Conectando Express.js con servicios externos

Conexión a Mongodb en Express.js

Conectando nuestros servicios con mongo DB

Implementando acciones CRUD en MongoDB

Configurar una cuenta en Amazon AWS

Middlewares: En el medio del request

Qué es un middleware y qué tipos existen

Manejo de errores usando un middleware

Validación de datos usando un middleware

Implementando Sentry para el manejo de log de errores

Qué es Joi y Boom y cómo configurar Joi

Configurando Boom y nuestra página 404

Middlewares populares

Autenticación en Express.js

JSON Web Tokens

Configuración y uso de Passport.js

Asegurando nuestra API e identificando rutas sensibles

Testing

Creando tests para nuestros endpoints

Creando tests para nuestros servicios

Creando tests para nuestras utilidades

Agregando coverage para ver la calidad de nuestras pruebas

Debugging e inspect

Deployment

Buenas prácticas para el despliegue en producción

npm script

Añadiendo manejo de cache y seguridad con helmet

Cómo usar las variables de entorno para diferente ambientes

Habilitando CORS en producción

Cómo funciona y por qué es importante el uso de HTTPS

Desplegando con Now y detectando vulnerabilidades con npm audit

Automatizar el chequeo de vulnerabilidades con snyk

Conclusiones