Consulta de Órdenes de Compra Usando Token de Sesión en Node.js

Clase 13 de 20 • Curso de Backend con Node.js: Autenticación con Passport.js y JWT

Contenido del curso

Introducción

Protección de contraseñas

Passport y JSON Web Tokens

Envío de emails con Node.js

Recuperación de contraseñas

Despliegue a producción

19
Deployment de Aplicaciones Node.js en Heroku con Autenticación y Migraciones
10:25 min

Próximos pasos

20
Autenticación y Autorización con GoodNove.js y JWT
01:21 min

Tomar examen

Resumen

¿Cómo manejar las órdenes de compra con autenticación?

En la implementación de sistemas que gestionan órdenes de compra, es esencial proteger la información de los usuarios. En la clase, hemos aprendido cómo, mediante el uso de JWT (JSON Web Tokens), podemos hacer que nuestras aplicaciones sean más seguras y a la vez más eficientes. Este proceso permite que los clientes autenticados consulten sus órdenes sin tener que enviar su identificador repetidamente. Vamos a desglosar este procedimiento.

¿Cómo crear un router para manejar las órdenes de compra?

Para empezar, necesitamos un nuevo router que maneje las órdenes de compra por usuario autenticado. Usamos Express y JWT para desarrollar este nuevo endpoint:

const express = require('express');
const passport = require('passport');
const ordersService = require('../services/ordersService');
const router = express.Router();

router.get('/my-orders', 
  passport.authenticate('jwt', { session: false }),
  async (req, res, next) => {
    try {
      const userId = req.user.sub;
      const orders = await ordersService.findByUser(userId);
      res.json(orders);
    } catch (error) {
      next(error);
    }
  }
);

Este nuevo router crea un endpoint que devuelve las órdenes de compra para el usuario autenticado, extrayendo su ID del payload del token.

¿Cómo realizar consultas complejas con asociaciones?

Para manejar la relación entre tablas, empleamos Sequelize, que ofrece la capacidad de realizar consultas complejas. En este caso, tenemos relaciones de uno a uno entre usuario y cliente y cliente y orden.

async function findByUser(userId) {
  return Order.findAll({
    include: [
      {
        association: 'customer',
        include: [{ association: 'user', where: { id: userId } }]
      }
    ]
  });
}

Esta consulta utiliza las asociaciones para encontrar las órdenes correspondientes al usuario autenticado, sin requerir el envío explícito del ID del cliente en cada solicitud.

¿Qué beneficios ofrece el uso de JWT en esta implementación?

El uso de tokens JWT ofrece varias ventajas:

Seguridad: Los tokens están firmados y tienen una fecha de expiración, lo que previene su uso indevido.
Simplicidad: Permite evitar la transmisión constante de credenciales o identificadores del usuario, ya que el token almacena información suficiente para autenticación.
Escalabilidad: Facilita la implementación en aplicaciones distribuidas, donde la autenticación se puede descentralizar de manera segura.

Reto adicional: Automatizando la asociación en nuevas órdenes de compra

Cuando un usuario autenticado desea crear una nueva orden de compra, el sistema debería poder deducir su customerId a partir del userId almacenado en el token:

async function createOrder(data, userId) {
  const customer = await Customer.findOne({ where: { userId: userId } });
  if (!customer) throw new Error('Customer not found');
  const newOrder = await Order.create({
    ...data,
    customerId: customer.id
  });
  return newOrder;
}

Con este enfoque, eliminamos el paso manual de tener que enviar el customerId, lo que simplifica el proceso para el usuario y minimiza errores potenciales.

Este tipo de implementaciones no solo ayudan a mantener la integridad y seguridad de los datos del usuario, sino que también proporcionan una experiencia de usuario más fluida y agradable. ¡Sigue explorando y mejorando tus habilidades en el manejo de autenticación y seguridad en aplicaciones web!

Maria Gabriela Rodriguez Cuevas

student•

📋 Clase #13: Obteniendo órdenes del perfil 13/20 📋

Se quiere obtener las ordenes del usuario sin necesidad de enviar el id del usuario, para ello se usa el token del usuario cuando hizo login que a su vez tiene un identificador llamado “sub”. Pasos:

Vamos a ++VSC++, abrimos la carpeta services y abrimos el archivo order.service.js, se implementa la lógica para la función buscar por usuario: findByUser (mas info: aquí), el código queda:

async findByUser(userId) {
	//Se hace la consulta a pesar que se tiene el id de user y no de customer
	const orders = await models.Order.findAll({
		//Cuando hay tipos de estas asociaciones, se usa: where
		where: {
			'$customer.user.id$': userId
		},
		include: [
			{
			//Customer tiene una relación con user (relación de tablas)
			association: 'customer',
			//Con user se puede filtrar esas ordenes de compra asociadas a ese usuario y a customer
			include: ['user']
			}
		]
	});
	return orders;
}

Guardamos, ahora necesitamos crear una nueva ruta, vamos a la carpeta routes y creamos el archivo profile.routes.js, se implementará la lógica para obtener las ordenes del usuario pasándole el sub del payload y no el id del user, el código queda:

const express=require('express');
const passport=require('passport');
const OrderService=require('../services/order.service');

const router=express.Router();
const service=new OrderService();

router.get('/my-orders',
	passport.authenticate('jwt',{session:false}),
	async(req,res,next)=>{
		try{
			//Necesitamos el user para obtener el identificador sub
			const user=req.user;
			//Las ordenes de compra
			const orders=await service.findByUser(user.sub);
			res.json(orders);
		}catch(error){
			next(error);
		}
	}
);

module.exports=router;

Guardamos, necesitamos actualizar el index.js de la carpeta routes, se agrega después de authRouter:

const profileRouter = require('./profile.router');

La ruta dentro de routerApi queda:

router.use('/profile', profileRouter);

Guardamos, si no se ha compilado con: npm run dev en la terminal, esperar a Mi port 3000

Vamos a ++Insomnia++, entramos a la carpeta Auth, duplicamos el Login y lo editamos y colocamos Get orders y la solicitud en GET, la dirección: _.API_URL/api/v1/profile/my-orders, antes de consultar, en la pestaña de Auth, se selcciona “Bearer” y en TOKEN se pega el token del usuario autenticado en Auth. Si le damos a ++Send++, debe salir un código 200 OK y como no se han hecho registros de ordenes, nos sale un array vacío: []
Para llenar el array de las ordenes de compra, debemos añadir las ordenes. Para ello necesitamos saber el id del usuario, pero necesitamos el id del customer porque lo creamos desde esa tabla, para conocer ese Id, vamos al navegador, entramos a ++pgAdmin++.
Cuando entramos a ++pgAdmin++, al lado izquierdo hay un panel donde sale “Servers”, al darle click sale una lista de jerarquía desplegable, ir a MyStore > Databases > my_store > Schemas > public > Tables > customers, le damos con el botón derecho del mouse sobre customers y seleccionamos View/Edit Data > All Rows, aparece la tabla con todos los customers, buscamos el usuario del token e identificamos en la primera columna el id.
Vamos a ++Insomnia++ y dentro de la carpeta Orders, seleccionamos POST Create orders (dirección: _ . API_URL/api/v1/orders) y en el body de JSON se coloca el id que identificamos en ++pgAdmin++, en mi caso:

{
	"customerId": 2
}

Para agregar productos a la orden, debemos tener algunos productos creados, en caso de que no se hayan creado, vamos a la carpeta de Products, seleccionamos POST Create products (dirección: _ . API_URL/api/v1/products) y vamos creando productos solo editando el name (se puede editar el resto de items si se desea), por ejemplo:

{
	"name": "Product 2",
	"price": "30",
	"description": "example and test 2",
	"image": "http: // placeimg. com/640/480",
	"categoryId": 2
}

Al dar ++Send++, nos va arrojando un código 201 Created cada vez que creamos un producto:

{
	"createdAt": "2023-03-29T02:29:31.823Z",
	"id": 2,
	"name": "Product 2",
	"price": 30,
	"description": "example and test 2",
	"image": "http: // placeimg. com/640/480",
	"categoryId": 2
}

Ahora vamos a la carpeta de Orders y seleccionamos POST Create Items (dirección: _ . API_URL/api/v1/orders/add-item), se debe especificar los siguientes items:

{
	"orderId": 2,
	"productId": 1,
	"amount": 2
}

Al dar ++Send++, nos arroja un código 201 Creted:

{
	"createdAt": "2023-03-29T02:30:21.591Z",
	"id": 2,
	"orderId": 2,
	"productId": 1,
	"amount": 2
}

Si agregamos varios items y queremos consultarlos todos, vamos a la carpeta de Auth en Get orders y al dar ++Send++, nos arroja un código 200 OK y todos los items con su respectiva información:

[
	{
		"total": 0,
		"id": 1,
		"customerId": 2,
		"createdAt": "2023-03-29T02:22:51.691Z",
		"customer": {
			"id": 2,
			"name": "Pedro",
			"lastName": "Vicente",
			"phone": "9898",
			"createdAt": "2023-03-28T21:32:16.237Z",
			"userId": 4,
			"user": {
				"id": 4,
				"email": "pedro @mail. com",
				"password": "$2b$10$2IC2hbfyNR2jMaKE71ZNZOazZy0EeMN/kzb6I7/v1PgN5/7350cqu",
				"role": "customer",
				"createdAt": "2023-03-28T21:32:16.237Z"
			}
		}
	},
	{
		"total": 0,
		"id": 2,
		"customerId": 2,
		"createdAt": "2023-03-29T02:23:17.224Z",
		"customer": {
			"id": 2,
			"name": "Pedro",
			"lastName": "Vicente",
			"phone": "9898",
			"createdAt": "2023-03-28T21:32:16.237Z",
			"userId": 4,
			"user": {
				"id": 4,
				"email": "pedro @mail. com",
				"password": "$2b$10$2IC2hbfyNR2jMaKE71ZNZOazZy0EeMN/kzb6I7/v1PgN5/7350cqu",
				"role": "customer",
				"createdAt": "2023-03-28T21:32:16.237Z"
			}
		}
	}
]

Maria Gabriela Rodriguez Cuevas

student•

🏗 Reto de la clase: 🏗

Se quiere crear una orden sin necesidad de pasar el ++ID del customer++, es decir, que en el body en ++Insomnia++ cuando se hace la petición POST esté vacío.

Vamos a la carpeta routes y abrimos el archivo order.router.js, en la cabecera agregamos a passport:

//Librería del passport para realizar el POST
const passport=require('passport');

Luego modificamos la función del POST, donde incorporamos la lógica de passport en lugar de validatorHandler, el código queda:

router.post(
	'/',
	//Se implementa aquí esta capa del passport
	passport.authenticate('jwt', { session: false }),
	async (req, res, next) => {
		try {
			const body = { userId: req.user.sub };
			const newOrder = await service.create(body);
			res.status(201).json(newOrder);
		} catch (error) {
			next(error);
		}
	}
);

Guardamos, vamos a la carpeta de services, abrimos el archivo order.service.js y se edita la función de Create(data) ya que antes de generar una nueva orden agregándola a la tabla de Order, se debe primero buscar la data que coincida con el token, una vez que se encuentre, se extrae el userId que se pasaba manualmente antes por el body de la petición, el código queda:

async create(data) {
	//Se hace la consulta ya que no se tiene el id de customer
	const customer = await models.Customer.findOne({
		//Cuando hay tipos de estas asociaciones, se usa: where
		where: {
			'$user.id$': data.userId,
		},
		//Con user se puede filtrar esas ordenes de compra asociadas a ese usuario y a customer
		include: ['user'],
	});

	data.customerId = customer.id;
	//delete data.userId;
	//Se crea la orden en la tabla de valores
	const newOrder = await models.Order.create(data);
	return newOrder;
}

Guardamos, si no se ha compilado con: npm run dev en la terminal, esperar a Mi port 3000

Vamos a ++Insomnia++, entramos a la carpeta de Orders y en Create ordes, con la peticón POST no agregamos nada en el body, pero tenemos que seleccionar en la pestaña de Auth a “Bearer” y colocar en TOKEN el token que corresponde del user, al presionar ++Send++, debe salir un código 201 Created:

{
	"total": 0,
	"createdAt": "2023-03-30T02:11:15.164Z",
	"id": 5,
	"customerId": 2
}

Juan Camilo Alvarez Muñoz

student•

este aporte me fue muy útil la verdad

Alex Stefano Falcon Flores

Alejandro Chavez

Kyb3r Cipher

Rafael Moro

Cesar González Caballero

Franz Eduardo Tejada Valencia

Juan Jiménez

Anderson Peñaloza

Tomás André Peñaloza Avilés

Ricardo Rito Anguiano

Nicolas Molina

teacher•

Mike Arthur Pinta Pacheco

Alexander Gonzalez

Cristian Acalo

SAHIR ANTHAR VELASCO GONZALEZ

Harold Zurita Simon

Jhon Pabon

Juan Camilo Noreña López

Norma Natalia Moreno Espinoza

Roger Ayllon Olivera

José manuel Sanchez Juarez

Brandon Lee Aguero Fernandez

Ivan Castellanos

Carlos S. Aldazosa

Fabian Gutiérrez

Consulta de Órdenes de Compra Usando Token de Sesión en Node.js

Introducción

Autentificación y Autorización en Node.js con JSON Web Tokens

Autenticación vs. autorización

Autenticación y Autorización en Node.js para eCommerce

Protección de contraseñas

Creación de Middleware para Autenticación con API Key

Hashing de Contraseñas con BYNCrip: Seguridad y Verificación

Implementación de Hashing en Endpoints de Usuario y Cliente

Passport y JSON Web Tokens

Implementación de Autenticación con Passport.js y Estrategia Local

Autenticación con JSON Web Tokens: Creación y Verificación

Firma y Verificación de JSON Web Tokens con JavaScript

Generación y Firma de Tokens JWT en APIs Backend

Protección de Rutas con JWT y Passport en Node.js

Gestión de Roles y Permisos en API Restful