Tengo una api rest a la que intento aplicarle autenticación por web token, tengo una función signin que se encarga de crear el token y retornarlo sea valido o no.
Función signIn
function signIn (req, res) {
User.find({ email: req.body.email }, (err, user) => {
if (err) return res.status(500).send({message: err})
if (user.length < 1) return res.status(404).send({message: 'User not
found'})
req.user = user
res.status(200).send({
message: 'Succesfull',
token: services.createToken(user)
})
})
}
Y tengo un middleware que valida el header de autorización en las paginas que lo requieren.
Middleware de Autorización
function isAuth (req, res, next) {
if (!req.headers.authorization) {
return res.status(403).send({message: 'No tienes autorización'})
}
const token = req.headers.authorization.split(' ')[1]
services.decodeToken(token)
.then(response => {
req.user = response
next()
})
.catch(response => {
res.status(response.status).send({message: response.message})
})
}
La autenticación funciona pero no se cual es la manera correcta de obtener los datos del usuario (nombre, avatar, etc) a través del token sin comprometer la seguridad de mi API.
Estoy utilizando el modulo jwt-simple para generar el token