1

Ando desarrollando un proyecto para la escuela (NodeJS y MondoDB). Intento bloquear rutas para ususarios sin privilegios. En Jade implementé la siguiente condición en un layout: if user.isAdmin == true. O sea, en el frontend bloquea la ruta y no se visualiza en la navbar si el usuario no tiene el checkbox verificado.

Había intentado hacer en el backend, digamos, en la ruta:

route.get("/admin", function(req, res){
   if(req.body.isAdmin == true){
      res.render("app/admin");
   }else{
      /*Por ejemplo*/
      res.send("No es administrador");
   }
});

Pero eso se aplica para las peticiones que vienen de un formulario, no? Por si a caso, debo mencionar que tengo un middleware que maneja las sesiones:

module.exports = function(req, res, next){
    if(!req.session.user_id){
        res.redirect("/login");
    }else{
        User.findById(req.session.user_id, function(err, user){
            if(err){
                console.log(err);
                res.redirect("/login");
            }else{
                res.locals = {user: user};
                next();
            }
        });
    }
}

Entonces, ¿cómo podría manejar los datos de la sesión actual en el backend?

1
  • No está claro lo que preguntas. A qué te refieres con bloquear una ruta? A qué te refieres con que se aplica para peticiones que vienen de un formulario? ... el 6 jul. 2016 a las 15:39

2 respuestas 2

0

ya casi lo tienes, dado que tu middleware recupera user y lo mete en res.locals tan solo te queda filtrar por ese valor.

 route.get('/admin', function(req, res, next) {
   if (!res.locals.user.isAdmin) {
     return res.sendStatus(401);
   }  

   // y sigues con la lógica de /admin
   res.send('Admin page');

 });
1
  • Gracias por tu respuesta amigo. Ese res.locals me ayudo bastante. El middleware que use para la autorización de rutas quedó así: var User = require("../models/user").User; module.exports = function(req, res, next){ User.findById(req.session.user_id, function(err, user){ if(user.isAdmin == true){ res.locals.user = user; next(); console.log("Si tiene permisos de administrador"); }else if(user.isAdmin == false || user.isAdmin == null){ res.redirect("/app"); console.log("No tiene permisos para acceder"); } }); }
    – user10093
    el 22 jul. 2016 a las 18:30
0

Lo que estás haciendo es correcto. Al poner

route.get('/esta_ruta', function(req, res){
    //
});

la ruta ya está capturada. Vamos con un ejemplo. Si lo que deseas hacer es evitar lo más arriba posible en el programa que todas las peticiones a rutas que empiezan con /admin dentro de tu ruter sean vistas solo por usuarios con permisos de administración se puede hacer:

// situar acá los middlewares de control de login
// supongo que la session calcula is_admin
route.get('/admin', function(req, res, next){
  if(req.session.is_admin){
    next(); // ok, podemos seguir
  }else{
    res.status(401);
    // acá se puede poner algo más amable
    res.end('no autorizado'); // no continua, informa no autorizado
  } 
});

route.get('/admin/users', function(req, res){
  // estoy seguro que es un admin
});

route.get('/admin/roles', function(req, res){
  // estoy seguro que es un admin
});

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.