Protegiendo nuestras rutas con Passport.js

Clase 22 de 39 • Curso de Autenticación con Passport.js 2019

Alexis Alberto Texis Auza

student•

Hola,si quisieran mandar el error como un json,pueden hacer lo siguiente.

//debemos traernos la estrategia que se ha creado
require('path strategia')
const passport = require('passport')
const boom = require('@hapi/boom')

//Crearemos un middleware :
const protectRoutes = (req,res,next) => {
	passport.authenticate('jwt',(error,user) => {
        //si ocurre un error o el usuario que me devuelve la strategia no existe
	//llamamos a next pasandole a boom
	if(error || !user) return next(boom.unauthorized('inautorizado'))
	
	//De lo contrario ejecutaremos next para llame al siguiente middlware(que en   	//este caso seria el validation handler y el manejador de ruta)
	 req.login(user,{session : false},(err) => {
     	 if(err) return next(err)
     	 next()
    })
 })
}

//En tu ruta
app.post('/movies',protectRoutes,...)

Cristian Bello Cervantes

student•

en tu función "protectRoutes" te faltó hacer el clousure en passport.authenticate con los atributos del middleware.

esta es la solución :)

const protectRoutes = (req, res, next)=>{
  passport.authenticate('jwt',(error,user) => {
    //si ocurre un error o el usuario que me devuelve la strategia no existe
    //llamamos a next pasandole a boom
    if(error || !user) return next(boom.unauthorized());

    //De lo contrario ejecutaremos next para llame al siguiente middlware(que en   	//este caso seria el validation handler y el manejador de ruta)
    req.login(user,{session : false},(err) => {
      if(err) return next(err);
      next()
    })
  })(req, res, next);
};

Alver Alexander Grisales Ortega

student•

Para utilizar este Middleware en toda las rutas de movie simplemente pueden hacer

app.use(protectRoutes);

en el archivo de movie y user-movies. Con esto se evitan de ponerla en cada metodo del router

Wilson Fernando Antury Torres

student•

Lo que hace el middleware de passport es verificar que llegue un JWT con una firma válida, después debe sacar los scopes del JWT y verificar que el usuario tenga permisos para la ruta que quiere acceder.

David Alberto

student•

Pienso que se pueden proteger todas las rutas de productos implementando el middleware una sola ves en

<  app.use('/api/movies',
  passport.authenticate('jwt', { session: false }),
  router);>

Cristofher Jumbo Jimenez

student•

Te funciono?

Alejandro González Reyes

student•

Existe alguna forma para controlar el error de passportJS cuando no se le pasa un JWT y que no retorne un texto plano

Daniel Esteves

student•

¡Hola Alejandro! El compañero Alex realizó la solución perfecta para justo lo que necesitas aquí https://platzi.com/comentario/718205/ suerte y cualquier cosa me avisas :muscle:

Diego Andres Valderruten Vargas

student•

Hola, tengo este error al momento de iniciar el servidor:

TypeError: JwtStrategy requires a secret or key
    at new JwtStrategy (***************PLATZI/Cursos/Escuela-de-JavaScript/Curso de Autenticación con Passport.js/platzi-auth-passport/movies-api/node_modules/passport-jwt/lib/strategy.js:45:15)

que podría ser??

este es mi código JWT:

const passport = require('passport');
const JwtStrategy = require('passport-jwt').Strategy;
const ExtractJwt = require('passport-jwt').ExtractJwt;
const boom = require('@hapi/boom');

const UsersService = require('../../../services/users');
const { config } = require('../../../config/index');

passport.use(
    new JwtStrategy(
        {
        secretOrkey: config.authJwtSecret,
        jwtFromRequest: ExtractJwt.fromAuthHeaderAsBearerToken()
        },
        async function(tokenPayload, cb) {
            const usersService = new UsersService();

            try {
                const user = await usersService.getUser({ email: tokenPayload.email });

                if (!user) {
                    return cb(boom.unauthorized(), false);
                }

                delete user.password;

                cb(null, {...user, scope: tokenPayload.scope });
            } catch(error) {
                return cb(error)
            };
        }
    )
);

Gracias.

Diego Andres Valderruten Vargas

student•

lo que puede ocurrir, ocurre, y lo que ocurrió puede volver a ocurrir, mi error era muy simple, cuando defino new JwtStrategy() en el objeto JSON, use una letra en minúscula, y debía ser en mayúscula.

new JwtStrategy(
{
	secretOrkey: esta mal la letra k
}
)


new JwtStrategy(
{
	secretOrKey: es la correcta
}
)

Naldo Duran

student•

✌

Alejandro Benjumea Aguirre

student•

buenas tardes compañeros a alguien mas le sale este error:

SyntaxError: Unexpected token i in JSON at position 7

Lo intente tal cual lo hizo el instructor pero me sale ese mensaje.

Camilo Morales Sanchez

student•

buenas tardes compañeros alguien me puede ayudar

<{
    "statusCode": 500,
    "error": "Internal Server Error",
    "message": "An internal server error occurred",
    "stack": "Error: Object schema cannot be a joi schema\n    at new module.exports (E:\\Alejandro Morales Sánchez\\Documentos Universidad\\Curso de Autenticación con Passport.js - Platzi\\passport authorization\\movies-api\\node_modules\\@hapi\\hoek\\lib\\error.js:23:19)\n    at module.exports (E:\\Alejandro Morales Sánchez\\Documentos Universidad\\Curso de Autenticación con Passport.js - Platzi\\passport authorization\\movies-api\\node_modules\\@hapi\\hoek\\lib\\assert.js:20:11)\n    at internals.Base.method [as keys] (E:\\Alejandro Morales Sánchez\\Documentos Universidad\\Curso de Autenticación con Passport.js - Platzi\\passport authorization\\movies-api\\node_modules\\@hapi\\joi\\lib\\types\\keys.js:242:17)\n    at Object.args (E:\\Alejandro Morales Sánchez\\Documentos Universidad\\Curso de Autenticación con Passport.js - Platzi\\passport authorization\\movies-api\\node_modules\\@hapi\\joi\\lib\\types\\keys.js:48:23)\n    at Object.internals.generate (E:\\Alejandro Morales Sánchez\\Documentos Universidad\\Curso de Autenticación con Passport.js - Platzi\\passport authorization\\movies-api\\node_modules\\@hapi\\joi\\lib\\index.js:259:31)\n    at Object.root.<computed> [as object] (E:\\Alejandro Morales Sánchez\\Documentos Universidad\\Curso de Autenticación con Passport.js - Platzi\\passport authorization\\movies-api\\node_modules\\@hapi\\joi\\lib\\index.js:58:30)\n    at validate (E:\\Alejandro Morales Sánchez\\Documentos Universidad\\Curso de Autenticación con Passport.js - Platzi\\passport authorization\\movies-api\\utils\\middleware\\validationHandler.js:14:25)\n    at E:\\Alejandro Morales Sánchez\\Documentos Universidad\\Curso de Autenticación con Passport.js - Platzi\\passport authorization\\movies-api\\utils\\middleware\\validationHandler.js:26:19\n    at Layer.handle [as handle_request] (E:\\Alejandro Morales Sánchez\\Documentos Universidad\\Curso de Autenticación con Passport.js - Platzi\\passport authorization\\movies-api\\node_modules\\express\\lib\\router\\layer.js:95:5)\n    at next (E:\\Alejandro Morales Sánchez\\Documentos Universidad\\Curso de Autenticación con Passport.js - Platzi\\passport authorization\\movies-api\\node_modules\\express\\lib\\router\\route.js:137:13)"
}>

Isaí Ramírez

student•

Yo ando en las mismas, desde el video de Implementación de nuestro Sign-in, para acá ya no me va bien el proyecto. A veces me arroja error 500, 400, 401. Y ya no se que hacer con el proyecto, ya busque otros repos, pero todos tiene el mismo código, trate de comunicarme con el docente por twitter pero no he tenido respuesta... Espero nos puedan ayudar con este tema,

Camilo Morales Sanchez

student•

amigo pues ya me quito el 500 pero hize esto

en los diferentes schemas que se crearon use esta estructura

<const createUserMovieSchema = joi.object({
  userId: userIdSchema.required(),
  movieId: movieIdSchema.required(),
});>

usado joi.object( en todos los que se hicieron

en el archivo de validation handler puse esto....

<// Para devolver un error de Boom, requerimos boom
const boom = require('@hapi/boom');
const joi = require('@hapi/joi'); // eslint-disable-line


//* validate va a recibir la data que va a validar, y va a recibir un schema
function validate(data, schema) {
  // vamos a obtener un error en caso de que el schema no sea valido con la data
  // ANTIGUA IMPLEMENTACIÓN DE JOI
  // const { error } = joi.validate(data, schema);

  // NUEVA IMPLEMENTACIÓN DE JOI ahora el schema valida la data
  const { error } = schema.validate(data, { errors: { stack: true } });
  return error;
}

//recibe el schema la opcion donde se checkea
function validationHandler(schema, check = 'body') {
  //retornamos un middleware
  return function (req, res, next) {
    //de terminamos si validate retorna un error
    const error = validate(req[check], schema);

    //validamos
    //si hay un error y llamamos next con el error que se genera, de lo contrario que pase al
    //siguiente middleware.
    //error ? next(new Error(error)) : next();
    error ? next(boom.badRequest(error)) : next();
  };
}

module.exports = validationHandler;
>

esto basandome de codigos de muchos a lo largo de el curso y carrera yo admito que no se mucho y estoy algo desanimado porque tengo que hacer mi trabajo de grado y no se que hacer.... he intantado pero nada me funciona.

ya en el index de la carpeta de ssr

<const express = require("express");
const passport = require("passport");
const boom = require("@hapi/boom");
const cookieParser = require("cookie-parser");
const axios = require("axios");

const { config } = require("./config/index");

const app = express();

// middlewares
// body parser
app.use(express.json());
app.use(cookieParser());

//basic strategy
require("./utils/auth/strategies/basic");

// Agregamos las variables de timpo en segundos
const THIRTY_DAYS_IN_SEC = 2592000;
const TWO_HOURS_IN_SEC = 7200;

app.post("/auth/sign-in", async function (req, res, next) {
  // Obtenemos el atributo rememberMe desde el cuerpo del request
  const { rememberMe } = req.body;
  passport.authenticate("basic", function (error, data) {
    try {
      if (error || !data) {
        next(boom.unauthorized("Error la data viene vacía"));
      }

      const { token, ...user } = data;

      req.logIn(data, { session: false }, async function (error) {
        if (error) {
          next(error);
        }

        // Si el atributo rememberMe es verdadero la expiración será en 30 dias
        // de lo contrario la expiración será en 2 horas
        if(!config.dev) {
          res.cookie("token", token, {
            httpOnly: true,
            secure: true,
            maxAge: rememberMe ? THIRTY_DAYS_IN_SEC : TWO_HOURS_IN_SEC
          });
        } else {
          res.cookie('token', token)
          res.status(200).json(user);
        }
      });
    } catch (error) {
      next(error);
    }
  })(req, res, next);
});

app.post("/auth/sign-up", async function (req, res, next) {
  const { body: user } = req;

  try {
    await axios({
      url: `${config.apiUrl}/api/auth/sign-up`,
      method: "post",
      data: user,
    });
    res.status(201).json({
      message: "User created",
    });
  } catch (error) {
    next(error);
  }
});

app.get("/movies", async function (req, res, next) {});

app.post("/user-movies", async function (req, res, next) {
  try {
    const { body: userMovie } = req;
    const { token } = req.cookies;
    // cuando hacemos sign-in generamos un JWT que lo guardamos en una cookie,
    // apartir de ahí los req que hagamos en las peliculas de usuarios, entonces
    // van ha tener la cookie en el req. Es por eso que podemos sacar de las cookies el token
    // para llamar a nuestra API
    const { data, status } = await axios({
      url: `${config.apiUrl}/api/user-movies`,
      headers: { Authorization: `Bearer ${token}` },
      method: "post",
      data: userMovie,
    });
    if (status !== 201) {
      return next(boom.badImplementation());
    }
    res.status(201).json(data);
  } catch (error) {
    next(error);
  }
});

app.delete("/user-movies/:userMovieId", async function (req, res, next) {
  try {
    const { userMovieId } = req.params;
    const { token } = req.cookies;
    // cuando hacemos sign-in generamos un JWT que lo guardamos en una cookie,
    // apartir de ahí los req que hagamos en las peliculas de usuarios, entonces
    // van ha tener la cookie en el req. Es por eso que podemos sacar de las cookies el token
    // para llamar a nuestra API
    const { data, status } = await axios({
      url: `${config.apiUrl}/api/user-movies/${userMovieId}`,
      headers: { Authorization: `Bearer ${token}` },
      method: "delete",
    });
    if (status !== 200) {
      return next(boom.badImplementation());
    }
    res.status(200).json(data);
  } catch (error) {
    next(error);
  }
});

app.listen(config.port, function () {
  console.log(`Listening http://localhost:${config.port}`);
});
>

pues yo solucione algunos errores así pero ni se si el mío quedo bien si tu sabes mas y esta bien me avisas

Javier Fuentes Mora

teacher•

A mi me paso algo extraño el getMovie me retornaba un error y o sabia porque solo sucedia cuando implementaba el passport y solo cambie el cacheResponse(res, SIXTY_MINUTES_IN_SECONDS ); al mismo que tenia get movies cacheResponse(res, FIVE_MINUTES_IN_SECONDS);

y funciono quiero suponer que es al tiempo que toma la peticion pero segun yo five inutes es menor que sixty peor no se porque paso alguien tiene alguna idea??

Marco Luna

student•

He cambiado los parámetros incluso agregando el passport.authenticate pero siempre me sale Unauthorized, he seguido los mismos pasos pero siempre me indica error 401 mandando siempre el jwt como bearer, alguna ayuda?

Marco Luna

student•

Perdón amigos, ya encontré la solución, en mi caso estaba cometiendo la tontería de llamar la clave mal en mi Basic Strategy, así que ya lo cambié de forma correcta y ha funcionado.

Camilo Morales Sanchez

student•

Compañeros que frustración ya arregle el 401 y 500 al hacer el post de las películas de usuario, ahora trato de borrar la película y sale de nuevo el 500

<[nodemon] 2.0.4
[nodemon] to restart at any time, enter `rs`
[nodemon] watching path(s): *.*
[nodemon] watching extensions: js,mjs,json
[nodemon] starting `node index index.js`
Listening http://localhost:3000
Connected successfully to mongo
POST /api/auth/sign-in 200 487 - 4373.059 ms
POST /api/user-movies 201 66 - 179.053 ms
TypeError: schema.validate is not a function
    at validate (E:\Alejandro Morales Sánchez\Documentos Universidad\Curso de Autenticación con Passport.js - Platzi\passport authorization\movies-api\utils\middleware\validationHandler.js:13:28)
    at E:\Alejandro Morales Sánchez\Documentos Universidad\Curso de Autenticación con Passport.js - Platzi\passport authorization\movies-api\utils\middleware\validationHandler.js:32:19
    at Layer.handle [as handle_request] (E:\Alejandro Morales Sánchez\Documentos Universidad\Curso de Autenticación con Passport.js - Platzi\passport authorization\movies-api\node_modules\express\lib\router\layer.js:95:5)
    at next (E:\Alejandro Morales Sánchez\Documentos Universidad\Curso de Autenticación con Passport.js - Platzi\passport authorization\movies-api\node_modules\express\lib\router\route.js:137:13)
    at E:\Alejandro Morales Sánchez\Documentos Universidad\Curso de Autenticación con Passport.js - Platzi\passport authorization\movies-api\utils\middleware\scopesValidationHandler.js:18:7
    at Layer.handle [as handle_request] (E:\Alejandro Morales Sánchez\Documentos Universidad\Curso de Autenticación con Passport.js - Platzi\passport authorization\movies-api\node_modules\express\lib\router\layer.js:95:5)
    at next (E:\Alejandro Morales Sánchez\Documentos Universidad\Curso de Autenticación con Passport.js - Platzi\passport authorization\movies-api\node_modules\express\lib\router\route.js:137:13)
    at complete (E:\Alejandro Morales Sánchez\Documentos Universidad\Curso de Autenticación con Passport.js - Platzi\passport authorization\movies-api\node_modules\passport\lib\middleware\authenticate.js:268:13)
    at E:\Alejandro Morales Sánchez\Documentos Universidad\Curso de Autenticación con Passport.js - Platzi\passport authorization\movies-api\node_modules\passport\lib\middleware\authenticate.js:275:15
    at pass (E:\Alejandro Morales Sánchez\Documentos Universidad\Curso de Autenticación con Passport.js - Platzi\passport authorization\movies-api\node_modules\passport\lib\authenticator.js:431:14)
DELETE /api/user-movies/5f41bc9bed83cd321cae1a86 500 2292 - 99.625 ms
TypeError: schema.validate is not a function
    at validate (E:\Alejandro Morales Sánchez\Documentos Universidad\Curso de Autenticación con Passport.js - Platzi\passport authorization\movies-api\utils\middleware\validationHandler.js:13:28)
    at E:\Alejandro Morales Sánchez\Documentos Universidad\Curso de Autenticación con Passport.js - Platzi\passport authorization\movies-api\utils\middleware\validationHandler.js:32:19
    at Layer.handle [as handle_request] (E:\Alejandro Morales Sánchez\Documentos Universidad\Curso de Autenticación con Passport.js - Platzi\passport authorization\movies-api\node_modules\express\lib\router\layer.js:95:5)
    at next (E:\Alejandro Morales Sánchez\Documentos Universidad\Curso de Autenticación con Passport.js - Platzi\passport authorization\movies-api\node_modules\express\lib\router\route.js:137:13)
    at E:\Alejandro Morales Sánchez\Documentos Universidad\Curso de Autenticación con Passport.js - Platzi\passport authorization\movies-api\utils\middleware\scopesValidationHandler.js:18:7
    at Layer.handle [as handle_request] (E:\Alejandro Morales Sánchez\Documentos Universidad\Curso de Autenticación con Passport.js - Platzi\passport authorization\movies-api\node_modules\express\lib\router\layer.js:95:5)
    at next (E:\Alejandro Morales Sánchez\Documentos Universidad\Curso de Autenticación con Passport.js - Platzi\passport authorization\movies-api\node_modules\express\lib\router\route.js:137:13)
    at complete (E:\Alejandro Morales Sánchez\Documentos Universidad\Curso de Autenticación con Passport.js - Platzi\passport authorization\movies-api\node_modules\passport\lib\middleware\authenticate.js:268:13)
    at E:\Alejandro Morales Sánchez\Documentos Universidad\Curso de Autenticación con Passport.js - Platzi\passport authorization\movies-api\node_modules\passport\lib\middleware\authenticate.js:275:15
    at pass (E:\Alejandro Morales Sánchez\Documentos Universidad\Curso de Autenticación con Passport.js - Platzi\passport authorization\movies-api\node_modules\passport\lib\authenticator.js:431:14)>

<Listening http://localhost:8000
Error: Request failed with status code 500
    at createError (E:\Alejandro Morales Sánchez\Documentos Universidad\Curso de Autenticación con Passport.js - Platzi\passport authorization\ssr-server\node_modules\axios\lib\core\createError.js:16:15)
    at settle (E:\Alejandro Morales Sánchez\Documentos Universidad\Curso de Autenticación con Passport.js - Platzi\passport authorization\ssr-server\node_modules\axios\lib\core\settle.js:17:12)
    at IncomingMessage.handleStreamEnd (E:\Alejandro Morales Sánchez\Documentos Universidad\Curso de Autenticación con Passport.js - Platzi\passport authorization\ssr-server\node_modules\axios\lib\adapters\http.js:236:11)
    at IncomingMessage.emit (events.js:327:22)
    at endReadableNT (_stream_readable.js:1221:12)
    at processTicksAndRejections (internal/process/task_queues.js:84:21)>

a alguien le funciona bien todo para que nos comparta el código o algo yo llevo dos días acá estancado por no poder solucionarlo

se le agradecería

Jose Daniel Molina

student•

Úsalo así, espero que te funcione Mucha suerte

function validate(data, schema){
  const {error} = joi.object(schema).validate(data);
  return error;
}```

Camilo Morales Sanchez

student•

amigo muchas gracias por la ayuda, te pregunto tu supiste como desplegar el proyecto en vercel? es que ando ya en el de integración y no puedo avanzar porque mi api no funciona.... me puedes explicar si a ti te funciono ese despliegue

Jesus Adrian Berrio Valdes

student•

En mi caso estoy haciendo una web donde se ve las transacciones retiros y usuarios de una moneda ficticia, no tengo que proteger ningun CRUD a la base de datos, solo la de obtener datos de los usuarios, en mi caso ¿es nesesario un JWT para los endpoints? o es sufuciente con autenticarlos con passport?

Karen Paola Diaz Duarte

student•

Genial!! protegiendo rutas. :)

Maria Elizabeth Minero Alvarenga

student•

Antonio Mendiola Farías

student•

Hola! Para automatizar el guardado del token en Postman, les comparto mi script. Sólo debes añadirlo en la pestaña de test de la petición de sign-in en Postman.

pm.test("Save token", function () {
    if(pm.response.to.have.status(200)){
        var body = JSON.parse(responseBody)
        pm.environment.set("token", body.token);
    }
});```

Esto crea una variable de entorno en Postman que almacena el nuevo token cada vez que nos firmamos en la aplicación. Ya sólo hay que pasarle la variable en el Bearer Authorization de las peticiones que lo requieren. .

. Saludos!