Protección de APIs con Autenticación Token en Laravel
Contenido del curso
Fernando Mejia
Omar Villafuerte
Lenin Carabali
Carlos Eduardo Gomez García
Juan Sanchez
Marcelo Vargas Avila
Blas Rodriguez934
Miguel Angel Muñoz Pozos
Italo Morales Fantone
Profesor
Héctor Antonio Jiménez Manzo
Miguel Angel Muñoz Pozos
María Sierra
Jimmy Buriticá Londoño
Raul Mercado
Eugenio Avila
Hector Rubio
Miguel Angel Muñoz Pozos
David Antonio Garcia Saaib
Juan Carlos García Esquivel
Danilo Toro
Oscar Stevens Cuartas Bejarano
Alex Camacho
Profesor
Rosember Perez
Rodrigo Oliva
Kenneth Angulo L
Oly Graterol
Mauricio Poveda Macias
Carlos Javier Flores Cardona
Lorenzo Antonio Rojo Garces
Si estas trabajando con VSCode tienes la opcion de descargar un plugin que se llama phpUnit, con este pudes colocar el apuntador en cualquier metodo que desees probar y usando en Mac command+shift+p, en windows: ctrl+shift+p, podras llamar a un prompt ahi escribes la palabra test y tendras la opcion de correr todos o en el que te encuentras trabajando asi aceleras un poco mas tu workflow
gracias le he instalado, ahorra bastante tiempo
En laravel 8 me respondía con un error 500
Tuve que agregar estas líneas en en los guards del archivo auth.php que está en la carpeta de config
'api' => [ 'driver' => 'token', 'provider' => 'users', 'hash' => false, ],
Asumo que es por la versión del framework...Y todo correcto, espero sirva.
Pues todo perfecto! Al fin aprendí a crear un API, aunque no entiendo aún cómo es que el usuario se loguearía desde el front, pero por todo lo demás, perfecto! aquí dejo parte de mi código con las pruebas corriendo al 100
Es necesario que la API retorne un token luego de haber verificado que las credenciales son correctas.
Auth::Login($user); $user = $this->guard()->user(); $user->generateToken(); return response($user, 200);
Luego en el FrontEnd lo almacenas en el localStorage y en cada petición que realices debes inyectar ese token(solo si la ruta solicita verificación de token).
const bearer = localToken(); axios.defaults.baseURL = apiConfig.apiURL; if (bearer) { axios.defaults.headers.common.Authorization = `Bearer ${bearer}`; }
Esto solo es una forma de autenticación, existen otras más.
Tuve problemas con el middleware pero lo solucioné de esta manea. api.php
Route::apiResource('posts', PostController::class)->middleware('auth:sanctum');
PostControllerTest.php
$response = $this->actingAs($user, 'sanctum')->json
bueno solo tenemos que agregar estas lineas asi nos verifique estamos logueado $user = factory(User::class)->create();
$this->actingAs($user, 'api')->json.......
Genial :)
danielrivera5_, tienes que usar el comando** php artisan test** para que te aparezcan los checks
<?php namespace Tests\Feature\Http\controllers\Api; use App\Post; use App\User; use Illuminate\Foundation\Testing\RefreshDatabase; use Illuminate\Foundation\Testing\WithFaker; use Tests\TestCase; class PostControllerTest extends TestCase { use RefreshDatabase; public function test_store() { // $this->withoutExceptionHandling(); $user = factory(User::class)->create(); $response = $this->actingAs($user, 'api')->json('POST', '/api/posts', [ 'title' => 'El post de prueba' ]); $response->assertJsonStructure(['id', 'title', 'created_at', 'updated_at']) ->assertJson(['title' => 'El post de prueba']) ->assertStatus(201); // ok, creado un recurso $this->assertDatabaseHas('posts', ['title' => 'El post de prueba']); } public function test_validate_title() { $user = factory(User::class)->create(); $response = $this->actingAs($user, 'api')->json('POST', '/api/posts', [ 'title' => '' ]); $response->assertStatus(422) //estatus HTTP 422 ->assertJsonValidationErrors('title'); } public function test_show() { // $this->withoutExceptionHandling(); $user = factory(User::class)->create(); $post = factory(Post::class)->create(); $response = $this->actingAs($user, 'api')->json('GET', "/api/posts/$post->id"); //id = 1 $response->assertJsonStructure(['id', 'title', 'created_at', 'updated_at']) ->assertJson(['title' => $post->title]) ->assertStatus(200); // ok } public function test_404_show() { $user = factory(User::class)->create(); $response = $this->actingAs($user, 'api')->json('GET', '/api/posts/1000'); //id = 1000 $response->assertStatus(404); // no existe } public function test_update() { // $this->withoutExceptionHandling(); $user = factory(User::class)->create(); $post = factory(Post::class)->create(); $response = $this->actingAs($user, 'api')->json('PUT', "/api/posts/$post->id", [ 'title' => 'nuevo' ]); $response->assertJsonStructure(['id', 'title', 'created_at', 'updated_at']) ->assertJson(['title' => 'nuevo']) ->assertStatus(200); // ok $this->assertDatabaseHas('posts', ['title' => 'nuevo']); } public function test_delete() { // $this->withoutExceptionHandling(); $user = factory(User::class)->create(); $post = factory(Post::class)->create(); $response = $this->actingAs($user, 'api')->json('DELETE', "/api/posts/$post->id"); $response->assertSee(null) ->assertStatus(204); // sin contenido $this->assertDatabaseMissing('posts', ['id' => $post->id]); } public function test_index() { factory(Post::class, 5)->create(); $user = factory(User::class)->create(); $response = $this->actingAs($user, 'api')->json('GET', '/api/posts'); $response->assertJsonStructure([ 'data' => [ '*' => ['id', 'title', 'created_at', 'updated_at'] ] ])->assertStatus(200); } public function test_guest() { $this->json('GET', '/api/posts')->assertStatus(401); $this->json('POST', '/api/posts')->assertStatus(401); $this->json('GET', '/api/posts/1000')->assertStatus(401); $this->json('PUT', '/api/posts/1000')->assertStatus(401); $this->json('DELETE', '/api/posts/1000')->assertStatus(401); } }
Delete con TDD y Login
Para verificar si algo no existe en nuestra Databse con PHPUnit
$this->assertDatabaseMissing('posts', ['id' => $post->id]);
Para crear un autenticación en un api utilizamos el middleware
, PostController::class)->middleware('auth:api');
Y para arreglar nuestras anteriores testing vamos a crear un usuario y poner que estamos login con el token del Api
$user = User::factory()->create(); $response = $this->actingAs($user, 'api')->json('POST', ...
Todo funcionó como se esperaba. Me hubiera gustado probar la API desde otro programa consumiéndola.
Prueba usando la aplicación Postman
Sería factible crear una sola vez la creación del usuario y reutilizar en todos los metodos?
Si lo creas de forma global si, pero por conversión se debe hacer individualmente dado que cada prueba se hace de forma individual.
<?php namespace App\Http\Controllers\Api; use App\Http\Controllers\Controller; use App\Post; use App\Http\Requests\Post as PostRequests; class PostController extends Controller { private $post; /** * __construct * * @param mixed $post * @return void */ public function __construct(Post $post) { $this->post = $post; } /** * Display a listing of the resource. * * @return \Illuminate\Http\Response */ public function index() { return response()->json($this->post->paginate()); } /** * Store a newly created resource in storage. * * @param \Illuminate\Http\Request $request * @return \Illuminate\Http\Response */ public function store(PostRequests $request) { $post = $this->post->create($request->all()); return response()->json($post, 201); } /** * Display the specified resource. * * @param \App\Post $post * @return \Illuminate\Http\Response */ public function show(Post $post) { return response()->json($post); } /** * Update the specified resource in storage. * * @param \Illuminate\Http\Request $request * @param \App\Post $post * @return \Illuminate\Http\Response */ public function update(PostRequests $request, Post $post) { $post->update($request->all()); return response()->json($post); } /** * Remove the specified resource from storage. * * @param \App\Post $post * @return \Illuminate\Http\Response */ public function destroy(Post $post) { $post->delete(); return response()->json(null, 204); } }
El último test_guest si es importante terminando la api? o ya no porque ya esta declarado el usuario autentificado en cada test??
Creo que si es importante Adrían porque de esta forma te aseguras que si el usuario no esta logeado la respuesta es la que esperas en este caso 401 y no te llevas ninguna sorpresa, como dijo Italo con esa validación podrás dormir tranquilo sabiendo que hace exactamente lo que esperas.
Hay algún método para los jwt que no sea crear el auth cada vez? o solo debemos crear el auth y pasarlo por el header?
excelente, no entendi nada del TDD pero excelente clase jejejje
Hola Oscar,
Quizá este artículo te ayude a disipar un poco tus dudas :D
¡Nunca pares de aprender! 💚
Hola!!
Te explico rápidamente el TDD, desarrollado guiado por pruebas
Ej: instanciar un objeto carro, que use un método volar y llegue a un lugar especifico
Ej: En la instancia carro le implementamos un componente alas, un chasis aerodinámico, extendemos el motor a uno de avión y le agregamos un array de turbinas de jet
Ej. La instancia carro ahora es mas potente de la necesaria así que removemos potencia hasta quedar como necesitemos, usamos un patrón decorador, removemos maquinaria que para liberar espacio.
Al usar el TDD, podemos ser mas efectivos en el desarrollo, debido a que establecemos una meta previa, tratamos de completarla a como de lugar y además optimizarla para que sea lo mas eficiente posible.
Hay alguna forma de reutilizar código en las pruebas, por ejemplo trabajar en orden, creando, actualizando y eliminado el mismo recurso ? O no tiene sentido y la buena practica es que cáda metodo tenga su propio set de recursos para la prueba.
Mi primera API basica con el framework. 👌
Ejercicio
En laravel 9
Si estas con Laravel 8, es posible que te salga los siguientes errores:
InvalidArgumentException: Auth guard [api] is not defined.
Incluso, después de corregir el anterior error, te salga el siguiente:
RouteNotFoundException: Route [login] not defined.
Esto es porque si es un usuario que no esta autorizado, deberá redirigirse a la pagina Login. La forma más fácil de corregir el error es colocar en la ruta con el middleware lo siguiente:
Route::apiResource('posts', PostController::class)->middleware('auth.basic');
Mi test de todos los métodos.
public function test_guest() { $this->json('GET', '/api/posts')->assertStatus(401); $this->json('POST', '/api/posts')->assertStatus(401); $this->json('GET', '/api/posts/1000')->assertStatus(401); $this->json('PUT', '/api/posts/1000')->assertStatus(401); $this->json('DELETE', '/api/posts/1000')->assertStatus(401); }
