Implementación de Strategy y ExtractJwt con Passport.js

Clase 19 de 39 • Curso de Autenticación con Passport.js 2019

Clase anteriorSiguiente clase

Rulo Code

student•

Hola Platzinauta !:D Puedes ver esta clase en formato de lectura explicada paso a paso aquí

Elvis Saavedra

student•

Siento que en vez de copíar y pegar código se deberían de ir haciendo pruebas para entender mejor cada línea de código, después de tanto escribir código y hacer pocas pruebas no quedan claros los conceptos.

Diego Andres Cabrera Rojas

student•

que no te quedo claro amigo ? , te podemos ayudar :)

Elvis Saavedra

student•

Tengo que hacer muchas pruebas y debuggear el código para entender bien que hace cada línea, en otros cursos no se necesita hacer eso ya que el instructor va probando código mientras avanza, es más que nada una observación sobre como enseña y no sobre el código.

Cristian Caraballo

student•

¿Que es un bearer token?

Diego Forero

Team Platzi•

Es un token creado por el servidor para que te puedas autenticar, es usado por lo general para accesos a apis, donde tienes un panel de administración al servicio puedes generar un token y usas este token para hacer las peticiones sin estar pasando en cada petición el usuario y contraseña.

La traducción literal de Bearer es portador, sería como portador del token

Félix Andersson

student•

Este código sería para verificar el acceso de un usuario que ya hizo login? por lo que entiendo, estamos verificando su token de autenticación. Osea, este código no sería para autenticar a un usuario que está haciendo login por primera vez, sino que uno ya logeado al que ya le asignamos un token.

Jose Federico Liquin

student•

Entiendo lo mismo que vos Felix, el código de utilis/auth/strategies/basic.js sería el que se utiliza para verificar la autenticación del usuario por medio del formulario de login. Saludos

Wilson Fernando Antury Torres

student•

El token JWT se genera cuando el usuario hace login exitoso verdad? de allí en adelante el cliente debe enviar el token para poder ser autorizado para consumir ciertos servicios, según su scope.

Diego Andres Cabrera Rojas

student•

exactamente

Jorge Nicolas Cabrera Palacios

student•

Como se implementa passport.js usando nginx en lugar de express? Que partes debo cambiar?

Guillermo Rodas

teacher•

Hola @YorchK, realmente Passport.js es una libreria que esta creada para Express.js, es decir que no puedes usarla si no es para un servidor con Express. Teoricamente podria usarse sin Express, pero al menos necesitarias un servirdor con Node.js. Por otro lado, NGINX funciona en otra capa del servidor, asi que me gustaria entender que es lo que tratas de hacer.

Daniel Esteves

student•

NGINX es como Apache es solo un servidor para servir archivos. Cuando usamos Express debemos tener Node para poder ejecutarlo y PM2 para gestionar estos procesos

Cristofher Jumbo Jimenez

student•

Entonces la anterior clase fue con una estrategia basica? Y esta es como una estrategia mas segura supongo

Jose Federico Liquin

student•

Hola Aybike, la clase anterior donde definió la estrategia básica es para la autenticación del usuario por medio del formulario de login. Esta implementa la estrategia de JWT que sirve para comprobar cuando se quiere acceder a los demás servicio de la API. Saludos.

Cristofher Jumbo Jimenez

student•

Interesante, gracias fede. Igual me toca experimentar mas con JWT para aprender mejor. Saludos

Wandy Rafael Santana Evangelista

student•

Hola Devs: Les animo a leer un poco de la documentacion para entender y ver otras formas de uso, del JWT con PassportJS: Click Aqui

Javier Fuentes Mora

teacher•

no entiendo porque jalamos el JWT de .env que no se supone que eso lo debería de generar el backend ,o dodne el usuario va a genrar el suyo o donde lo va a almacenar ??

Iván Darío Sánchez Jiménez

student•

Lo que trae de las variables de entorno es el secret para desencriptar el JWT, no es JWT como tal.

Carlos Mario Benitez

student•

Esto lo hizo porque unas clases atras cuando guillermo estaba agregando las variables de entorno al archivo config/index.js sin querer eliminó el AUTH_JWT_SECRET.

Karen Paola Diaz Duarte

student•

Me perdí, pero lo intentare nuevamente. :)

Wilson Fernando Antury Torres

student•

Al momento de enviar request al servidor se debe enviar el bearer token (JWT) en la cabecera: Authorization: Bearer {jwt token} , de pesta froma el servidor puede verificar la firma y reconocer el cliente autenticado.

Nicolas David Pastran Zamora

student•

Los scopes son los permisos del usuario, pero donde se validan estos ?.

Martin Munilla

student•

se validan luego mediante middlewares

José Cortés Molina

student•

QUE ES O QUE HACE EL AUTH-JWT-SECRET ? NO LE TENGO MUY CLARO, GRACIAS!

German Tellez Vanegas

student•

Al momento de generar el token le añade una capa más de seguridad para que cuando se intente descifrar sea necesario el "secreto" para poder descifrarlo correctamente

Miguel de la Rosa

student•

Osea el jwt secret siempre va a ser el mismo en la aplicacion para todos verificar todos los tokens o como?

José Enrique Pérez Aquino

student•

En este caso si, por eso es una variable de entorno, por lo que se debe mantener segura pues es un dato sensible.

Facundo Vergara

student•

Passport js with JWT

Migrant Cyborg

student•

Creo que lo que le falto aclarar a Guillermo en esta clase, que lo hizo levemente en la anterior, es que estas estrategias se aplicaran como middlewares a la hora de hacer peticiones a nuestros endpoints, por lo cual el jwt se le pasará al middleware en ese momento y es dentro de esta estrategia que lo extraerá y lo comparará.

Naldo Duran

student•

✌

Marco Tulio Linares

student•

¿ La palabra "delete" que usa para quitar el password del user, es propia del lenguaje js o de alguna librería en específico ?

CRISTIAN BARBERO PÉREZ

student•

Hola, creo que es propia de JS, aquí puedes ver su documentación 😀

Alexis H

student•

Es propia de JS. Es un operador que elimina una propiedad de un objeto. Solo es efectiva en objetos no tienen ningun efecto en cualquier otro tipo de dato.

Por ejemplo

`x = 42;         // crea la propiedad x en el objeto global
var y = 43;     // crea la propiedad y en el objeto global, y la marca como no configurable
myobj = {
  h: 4,
  k: 5
};

// x es una propiedad del objeto global y puede ser eliminada
delete x;       // retorna true

Mira la referencia

Jesus Adrian Berrio Valdes

student•

No entiendo como funciona la busqueda de los datos en la base de datos, hay un objeto que tiene varios datos, nombre contraseña correo usuario ¿se puede buscar en la base de datos solo dando el correo? ¿no se tiene que pasar el id que mongo DB le dio a este objeto?

Juan Esteban Galvis

student•

Entendí maso menos, pero en este caso no validamos la contraseña o si? Vi que simplemente buscamos por el correo ( GetOne({ email: tokenPayload.email }); ) pero entonces la contraseña qué? o inicia sesión con el token?

Andres Gazui

student•

En la Basic Strategy después de obtener el usuario y comprobar que existe se compara el password enviado por el usuario con el password hasheado en la DB a través del método compare de bcrypt :D

Implementación de Strategy y ExtractJwt con Passport.js

Aprender sobre autenticación y autorización

Lo que aprenderás sobre Passport.js

Stack de seguridad moderno

¿Qué es la autenticación y la autorización ?

Introducción a las sesiones

Conocer qué son los JSON Web Tokens

Anatomía de un JWT

Autenticación tradicional vs JWT

Firmando y Verificando nuestro JWT

Server-side vs Client-side sessions

Buenas prácticas con JWT

Entender cómo funcionan las cookies

¿Qué son las cookies y cómo implementar el manejo de sesión?

Cookies vs Session Storage vs Local Storage

Implementar autenticación en Express usando Passport.js

Arquitectura del proyecto Platzi Video

Agregando la colección de usuarios

Agregando la colección de películas de usuario

Implementando el POST y DELETE de las películas de usuario

Cómo conectarnos a la base de datos

Configuración de Passport.js

Implementación de BasicStrategy con Passport.js

Implementación de Strategy y ExtractJwt con Passport.js

Implementación de nuestro Sign-in

Implementación de nuestro Sign-up

Protegiendo nuestras rutas con Passport.js

Middleware para el manejo de scopes

Configuración del server render

Comunicación máquina a máquina

Implementando recordar sesión

Implementación de las rutas de las películas de usuario

Entender qué es OAuth 2.0 y OpenID Connect

¿Qué es OAuth 2.0 y OpenID Connect?

Implementar autenticación con redes sociales

Cómo crear un proyecto en Google API para hacer autenticación con 0Auth 2.0

Implementando 0Auth2.0 con Google

Implementando Sign Provider en nuestra API

Autenticación con Google usando OpenID Connect

Cómo crear una cuenta de desarrollador con Twitter

Autenticación con Twitter

Autenticación con Facebook

Asegurar tu aplicación de Express

Seguridad con Helmet y npm audit

Automatizar el chequeo de vulnerabilidades con Snyk

Qué es OWASP y buenas prácticas de seguridad

Conclusiones y cierre del curso