Middleware para el manejo de scopes

Clase 23 de 39 • Curso de Autenticación con Passport.js 2019

Alejandro González Reyes

student•

Corrección del middleware para que valide varios permisos si alguno de ellos falla, se niega el acceso

const boom = require('@hapi/boom');

function scopesValidationHandler(allowScopes) {
  return function(req, res, next) {
    // verificar si el usuario no existe, o que sus scopes no existan
    if (!req.user || !req.user.scopes) {
      next(boom.unauthorized('Faltan los scopes'));
    }

    // Mapeo el arreglo de scopes pasados a la ruta y verifico si cada uno de esos elementos se encuentra definido en los scopes del usuario. El resultado va a ser un nuevo arreglo de elementos true y/o false
    const permisions = allowScopes.map(scope =>
      req.user.scopes.includes(scope)
    );
    //verifico que no haya elemetos false en el arreglo de permisos (es decir, todos tienen que ser true para pasar al siguiente middleware, con uno que tenga false, significa que todos los permisos no se cumplen y por tanto se le niega el acceso)
    const hasAccess = !permisions.includes(false);

    if (hasAccess) {
      next();
    } else {
      next(boom.unauthorized('Scopes Insuficientes'));
    }
  };
}

module.exports = scopesValidationHandler;

Alejandro Cepeda

student•

// falta el return dentro del map

const permission = allowScopes.map((scope) => {
      return req.userData.scopes.includes(scope)            
})

Juan Carlos García Esquivel

student•

@alejandrocepeda el código de @jsconestilo si es válido ya que es una iteración de una línea y no utiliza llaves { } por lo tanto es return es implícito y no es necesario colocarlo.

Jorge Velasquez

student•

Código para agregar a las variables de entorno de postman el access_token.

var jsonData = JSON.parse(responseBody);
postman.setEnvironmentVariable(&quot;access_token&quot;, jsonData.token);

Héctor Hugo Sandoval Marcelo

student•

Gracias bro

Jose Anibal Garcia Giraldo

student•

Gracias!! :D

Jorge Velasquez

student•

Código para agregar a las variables de entorno de postman el id de la primera película

var jsonData = JSON.parse(responseBody);
postman.setEnvironmentVariable(&quot;movie_id&quot;, jsonData.data[0]._id);

Luis Lazcano

student•

Es delete no deleted

    scopeValidationhandler(['delete: movies']),

Rulo Code

student•

Puedes ver la versión escrita de esta clase aquí

Alejandro Mora Gonzalez

student•

Es mejor manejar los usuarios por roles o por scopes como tu lo estas haciendo?

Guillermo Rodas

teacher•

Depende la necesidad de la app. Si necesitas permisos granulares se aplicaría a nivel usuario, en nuestro caso son permisos a niveles de "clientes de aplicación". Los dos metodos pueden convivir, no son excluyentes.

Nicolas David Pastran Zamora

student•

Para los que no tenga los EndPoints en Postman.Archivo para importar

Irungaray Agustin

student•

muchas graciasd

Johan Avila

student•

No se si hice mal el ejerciocio, no encuentro errores, pero tengo un error de seguridad algo preocupante, si mando el apiKeyToken de Admin aunque en la db tenga el campo admin null o en false igual me deja hacer cambios, porque el token tiene esos scopes. Revisenlo.

Carlos Enrique Ramírez Flores

student•

POSTMAN:

Agregamos variables de entorno en la configuración de postman.

access_token

PUBLIC_API_KEY_TOKEN

ADMIN_API_KEY_TOKEN

movie_id

En la petición de login {{api_url}}api/auth/sign-in en la pestaña de test agregamos el siguiente código.

Código para agregar a las variables de entorno access_token. Este ejemplo es para el access_token

var jsonData = JSON.parse(responseBody);
postman.setEnvironmentVariable("access_token", jsonData.token);

para enviar el token ahora solo tenemos que enviar la variable en nuestro campo de Token:

Tomas Goldenberg

student•

PREGUNTA:

1 :LE AGREGAMOS MANUALMENTE EL API KEY TOKEN A NUESTROS USERS COMO SE LO AGREGARIAMOS AUTOMATICAMENTE CON EL SIGN IN ?

2: COMO HARIAMOS UNA APP COMO NETFLIX , QUE TE CAMBIA LOS PERMISOS SEGUN SI PAGASTE LA MEMBRESIA O NO?

Nixon Fernando Ortiz Suarez

student•

Ese api key Token lo guarda el Server Render y es el quien lo envía

Tomas Goldenberg

student•

gracias!!!

Carlos Aurelio Briceño Gomez

student•

Me da error el includes, aun cuando copio y pego el codigo...

Victor Garza

student•

Me pasaba lo mismo y era porque de alguna forma me mete la información de todo el usuario a los scopes, incluyendo los scopes:

{ _id: 61219b506852f44a965ede5a,
  name: 'Daniel',
  email: 'daniel_rad@gmail.com',
  scopes:
   { sub: '61219b506852f44a965ede5a',
     name: 'Daniel',
     email: 'daniel_rad@gmail.com',
     scopes:
      [ 'signin:auth',
        'signup:auth',
        'read:movies',
        'create:movies',
        'update:movies',
        'delete:movies',
        'read:user-movies',
        'create:user-movies',
        'delete:user-movies' ],
     iat: 1629592605,
     exp: 1629593505 } }

y por ese motivo mi variable hasAcces en el archivo scopeValidationHandler quedó asi:

    const hasAcces = allowedScopes
      .map(allowedScope => req.user.scopes.scopes.includes(allowedScope))
      .find(allowed => Boolean(allowed))

pero aún no logro entender por que pasa eso, tú pudiste solucionarlo?

Nicolas David Pastran Zamora

student•

Si alguno necesita los endpoints en Postman. Aca estan para que los importen

Wilson Fernando Antury Torres

student•

El objetivo de los middlewares es interceptar el objeto request, ejecutar validaciones, y dependiendo del resultado permitir el flujo o detenerlo.

Gaspar Dolcemascolo

student•

Me da error cuando quiero traer una película especifica, borrarla, editarla o crearla. No es por el usuario, lo intente con el admin y con el publico para traer una peli especifica y me da error. Solo puedo traer todas las películas

Object schema cannot be a joi schema

Trata de validar el token pero da error, obviamente.

Luis Gerardo López Hernández

student•

A final de cuentas lo que importa para el acceso es el token que pongo en el body del sign in, es correcto? Porque veo que cualquier usuario sea administrador o publico puede hacer modificaciones, entiendo que solamente se va a generar el token para administrador cuando el usuario coincida con lo que tenemos en .env

Luis Lira

student•

¡Hola!

Efectivamente, el usuario, contraseña y apiKeyToken deben ser los correctos para que se pueda generar el JWT y en el JWT es donde se definirán los permisos.

Estos permisos se asignarán según el apiKeyToken que le fue enviado a la API, con esto tu programa sabrá si darle permisos para usuarios públicos o darle permisos de administrador. El apiKeyToken que te envíen en el body debe coincidir con los que tienes en tus variables de entorno, si no, le retornará un error.

Luis Gerardo López Hernández

student•

ok ok grx!

Alejandro González Reyes

student•

Este middleware le falta corregir la lógica. Ejemplo. Supongamos que la ruta donde se agrega necesita scopes de read:movies y de user:moderator El primer map va a funcionar porque nos retorna un arreglo con elementos de tipo boolean Pero el find truena, ya que nos retorna el primer elemento que coincida con true.. Imagina que un usuario tiene un token con scopes de lectura pero de tipo visitante [read:movies / user:guest] le daría acceso

Manuel Ojeda

student•

Para ese caso se agregaría el scope a nivel BD, la intención de Platzi Video es que el usuario este agregado para poder tener acceso al servicio.

Jose Daniel Molina

student•

Si, la intención no es que haya usuarios "visitantes", yo lo veo como algo similar a Netflix :) por suscripción

Alfredo Gonzalez

student•

Acaso no hay un error?, Puesto que la validación solo checara si tenemos permisos para borrar cualquier pelicula, sea del usuario o no. Todos los usuarios deberian tener permisos para borrar sus propias peliculas, por lo que este scope y ruta en particular solo es valido para un admin, puesto que para que un usuario borrara su propia pelicula solo deberia ser necesario validar si esta dentro de sus peliculas . Que opinan?

Ismael Grimaldo Vega

student•

Revisa que las apiKeys tanto de admin como de usuario normal en tu database tengan los permisos adecuados.

En caso de que no los tengan, revisa tu seedApiKeys.js, corrige y guarda cambios. Ve a mongo compass y elimina tus dos apiKeys. Enseguida ejecuta el script de la línea 1 para enviar tus 2 nuevas apiKeys

DEEBUG=app* node scripts/mongo/seedApiKeys.js

Refresca tu database y verás tus nuevas apiKeys.

Ahora necesitas

Reemplazar en tu archivo .env los tokens de ADMIN_API_KEY_TOKEN y PUBLIC_API_KEY_TOKEN por los 2 nuevos tokens recién creados.
Reemplazar en Postman los anteriores tokens en las variables de entorno admin_api_key_token y public_api_key_token por los nuevos tokens de tus 2 nuevas apiKeys
Volver a iniciar el servidor

Joni Alejandro Alcalá

student•

de donde saco el access_token?

Diego Fernando Benavides Ariza

student•

Es el que se genera cuando haces sign-in , lo que hace el codigo que pone en test es precisamente ponerle un valor a esa variable de entorno.

Emanuel Catriquil

student•

Otra forma de escribir el script en la seccion test de postman es:

pm.environment.set("movie_id", jsonData.data[0]._id);

Mas info aca: https://learning.postman.com/docs/sending-requests/managing-environments/