Node/Express - 클라이언트/서버 간의 안전한 통신을위한 좋은 접근 방법

Question

MongoDB에서 데이터를 가져 오는 Node/Express로 백엔드 API를 구축하고 있습니다. 프론트는 React로 쓰여질 것입니다.

통신 클라이언트/서버를 보호하고 싶지만 프로세스에 대해 어떻게 생각해야하는지 잘 모릅니다.

passport 또는 JWT에 대한 자습서가 많이 있지만 이는 사용자 인증에 유용합니다.

시간을 기준으로 모든 요청에 ​​대한 토큰을 만드는 것이 좋은 접근 방법인지 아니면 웹 응용 프로그램에 너무 많은지 모르겠다.

하지만 API가 비공개 인 경우에도 쉽게 경로를 찾아 데이터를 스크랩하기 위해 우편 발송자 또는 다른 방법으로 가짜 요청을하는 방법을 알아낼 수 있기 때문에 데이터를 보호하는 것이 내 목표입니다.

Answer 1

허용되는 표준은 고정 된 API 키를 사용하는 것입니다. 이 정보 평화는 헤더의 각 요청에서 보내는 임의로 생성 된 문자열이어야합니다. 서버가 헤더에 API KEY가 있는지 확인하기 위해 매번 HTTP 요청을 확인해야하며, 그렇다면 API는 환경 변수에 저장된 값 (코드에 API KEY를 저장하지 마십시오)을 확인해야합니다.

API 키가 손상된 경우 쉽게 env 변수를 업데이트 할 수 있으며 다시 사용할 수 있습니다.

이제 누구나 트래픽을 탐지하고 API 키를 볼 수 있기 때문에이 솔루션은 HTTPS 연결 없이는 무의미합니다. 이 경우 암호화 된 연결이 필수입니다.

이 방법은 거의 모든 공개 API가 회사에 의해 사용된다 : 트위터, 페이스 북, Twilio를, 구글 등의 예를 들어

구글은 그들이 당신에게 만료되는 토큰을주고 추가 단계를 가지고 있지만,이 적어도 처음에는 당신의 경우에 과도한 살인이 될 것입니다.

다음 코드는 전체 구현 hear으로 전체 파일을 확인할 수 있습니다

app.use(function(req, res, next) { 

    // 
    // 1. Check if the APIKey is present 
    // 
    if(!req.headers.authorization) 
    { 
     return res.status(400).json(
      { 
       message: "Missing APIKey.", 
       description: "Unable to find the APIKey" 
      } 
     ); 
    } 

    // 
    // 2. Remove Basic from the beginning of the string 
    // 
    let noBasic = req.headers.authorization.replace('Basic ', ''); 

    // 
    // 3. Convert from base64 to string 
    // 
    let b64toString = new Buffer(noBasic, 'base64').toString("utf8"); 

    // 
    // 4. Remove the colon from the end of the string 
    // 
    let userAPIKey = b64toString.replace(':', ''); 

    // 
    // 5. Check if the APIKey matches the one on the server side. 
    // 
    if(userAPIKey != process.env.API_KEY) 
    { 
     return res.status(400).json(
      { 
       message: "APIKey don't match", 
       description: "Make sure what you are sending is what is in your server." 
      } 
     ); 
    } 

    // 
    // -> Go to the next stage 
    // 
    next() 

}); 

API 키 확인 내 구현의 예입니다.

Answer 2

방금 ​​내 승인 부분을 마치면서 AngularJS 응용 프로그램입니다. 대답은 이며 JWT과 Passport입니다. 데이터/API를 보호하려면 위대한 기술을 사용해야합니다.

JWT 라이브러리를 사용하는 경우 승인을 위해 http 헤드를 보유하는 데 도움이됩니다.

내가 사용하는 코드의 일부는 :

는

var jwt = require('express-jwt'); 

var auth = jwt({ 
    secret: config.jwt.secret, 
    userProperty: 'payload' 
}); 

app.use('/api/secret', auth, apiSecretRoutes); 

login.js

module.exports.login = function (req, res) { 
    if (!req.body.username || !req.body.password) { 
     return tools.sendJSONresponse(res, 400, { 
      message: 'All fields required!' 
     }); 
    } 

    passport.authenticate('local', function (err, user, info) { 
     var token; 
     if (err) { 
      return tools.sendJSONresponse(res, 404, err); 
     } 

     if (user) { 
      token = user.generateJwt(); 
      return tools.sendJSONresponse(res, 200, { 
       ok: true, 
       message: 'welcome ' + user.name, 
       token: token 
      }); 
     } else { 
      return tools.sendJSONresponse(res, 400, info); 
     } 
    })(req, res); 
}; 

사용자 app.js.JS

userSchema.methods.generateJwt = function() { 
    var expiryDays = 1; 
    var expiry = new Date(); 
    expiry.setDate(expiry.getDate() + expiryDays); 

    return jwt.sign({ 
     _id: this._id, 
     username: this.username, 
     name: this.name, 
     exp: parseInt(expiry.getTime()/1000) 
    }, config.jwt.secret); 
}; 

더 참고 문헌 :

• https://thinkster.io/angularjs-jwt-auth
• http://devdactic.com/restful-api-user-authentication-1/
• http://devdactic.com/restful-api-user-authentication-2/
• http://jwt.io
• https://github.com/auth0/express-jwt