JSON Web Tokens

Clase 27 de 43 • Curso de Express.js 2018

Contenido del curso

Bienvenida e introducción

Template Engines y archivos estáticos

Creando un API Restful

Conectando Express.js con servicios externos

Middlewares: En el medio del request

Autenticación en Express.js

Testing

Deployment

Tomar examen

Resumen

Aprenderemos que es un JSON Web token y como esta construido.

Comentarios

herbert vargas

student•

hola, creo que este video deberia ir de primero en el modulo

Edwar Baron

Team Platzi•

Hola, gracias por tu sugerencia, puedes escribirla a team@platzi.com

Mariandrea Cruz

student•

Hola! tienes toda la razón, ya quedó corregido el orden

Carlos Enrique Ramírez Flores

student•

jwt es una gran herramienta. **su estructura es:

Header
Payload
Signature**

Emmanuel Rodríguez

student•

JWT Es un estándar (RFC 7519) que define una forma de contenido seguro para transmitir información entre dos partes. Puede estar firmado usando un algoritmo (HMAC) o un par de llaves (public / private) usando (RSA / ECDSA).

Escenarios

Autorización,el escenario típico donde una vez que el usuario esta loggeado, cada subsecuente petición deberá incluir el JWT, permitiendo al usuario acceder a rutas, servicios y recursos donde está autorizado con el JWT.
Intercambio de información, el escenario donde al utilizar, el par de llaves, se puede asegurar el intercambio de información sabiendo la procedencia del emisor. Adicionalmente, siendo un proceso cifrado usando el header y el payload, podemos verificar si el contenido ha sido manipulado.

Estructura de un JWT

Header, Compuesto de dos partes:

El tipo de token, JWT.
El algoritmo usado para cifrar, HMAC SHA256 o RSA.

{
  "alg": "HS256",
  "typ": "JWT"
}

Payload Contenido de tres tipos:

Registro, iss (issuer) exp (expiration time) sub (subject), aud (audience) u otros.
Público, definido en formato IANA JWT Registry.
Privado, personalizados para compartir información entre las partes sin que sean públicos o registrados.

{
  "sub": "1234567890",
  "name": "John Doe",
  "admin": true
}

Signature Es una combinación entre:
Header
Payload
Una cadena o "secret"
Algoritmo determinado en el header.

HMACSHA256(
  base64UrlEncode(header) + "." +
  base64UrlEncode(payload),
  secret)

Saul Felipe Ramirez

student•

¿No es mejor encriptar el JWT? Para que no pueda ver la info nadie diferente a las personas autorizadas.

Eduardo Hidalgo Díaz Rugama

student•

si. Justamente la página oficial de JWT habla sobre ello. El payload y el header son visibles, pero no puedes hace uso del token.

Lo ideal es pasar tu token entero por un sistema de encriptación para resguardar los datos sensibles.

https://jwt.io/introduction/

Eduardo Hidalgo Díaz Rugama

student•

No es suficiente solo encriptar o solo firmar (la implementación de JWT).

Necesitas ambos. La firma te permite que solo la persona autorizada pueda hacer uso de los datos, y la encriptación asegura la protección del token. Se recomienda hacer la encriptación con sistemas de llaves pares con RSA256 o cosas por el estilo.

José Ricardo Romo Gutiérrez

student•

tengo que averiguar mas acerca de los jwt

Guillermo Rodas

teacher•

Cualquier pregunta/duda me lo puedes dejar saber.

Carlos Enrique Gonzalez Peña

student•

Mira el curso de OAuth 2.0 el cual también es de Guillermo, aquí explica también los JWT y nos enseña a implementarlos sin el uso de passport, asimismo también esta el curso de Node Avanzado donde también los utilizamos de una manera distinta pero similar con el profe Julian

Andres Roberto Coello Goyes

student•

https://jwt.io/

Naldo Duran

student•

✌

JSON Web Tokens

Bienvenida e introducción

¿Dónde aprender Express.js actualizado?

Lo que aprenderás sobre Express.js

¿Qué es express y para qué sirve?

Creando tu primer servidor

Express application generator

Template Engines y archivos estáticos

Qué es template engine y cómo crearlo

Implementando un template engine

Usando Pug como template engine

Usando Handlebars como template engine

Creando nuestro layout de productos usando Pug

Manejo de archivos estáticos

Creando un API Restful

Anatomía de una API RESTful e implementación CRUD

Implementando nuestra capa de Servicios

Recapitulando el proyecto

Request object

Conectando Express.js con servicios externos

Conexión a Mongodb en Express.js

Conectando nuestros servicios con mongo DB

Implementando acciones CRUD en MongoDB

Configurar una cuenta en Amazon AWS

Middlewares: En el medio del request

Qué es un middleware y qué tipos existen

Manejo de errores usando un middleware

Validación de datos usando un middleware

Implementando Sentry para el manejo de log de errores

Qué es Joi y Boom y cómo configurar Joi

Configurando Boom y nuestra página 404

Middlewares populares

Autenticación en Express.js

JSON Web Tokens

Configuración y uso de Passport.js

Asegurando nuestra API e identificando rutas sensibles

Testing

Creando tests para nuestros endpoints

Creando tests para nuestros servicios

Creando tests para nuestras utilidades

Agregando coverage para ver la calidad de nuestras pruebas

Debugging e inspect

Deployment

Buenas prácticas para el despliegue en producción

npm script

Añadiendo manejo de cache y seguridad con helmet

Cómo usar las variables de entorno para diferente ambientes

Habilitando CORS en producción

Cómo funciona y por qué es importante el uso de HTTPS

Desplegando con Now y detectando vulnerabilidades con npm audit

Automatizar el chequeo de vulnerabilidades con snyk

Conclusiones