2

Tengo una api rest a la que intento aplicarle autenticación por web token, tengo una función signin que se encarga de crear el token y retornarlo sea valido o no.

Función signIn

function signIn (req, res) {
 User.find({ email: req.body.email }, (err, user) => {
  if (err) return res.status(500).send({message: err})
  if (user.length < 1) return res.status(404).send({message: 'User not 
   found'})
  req.user = user
  res.status(200).send({
   message: 'Succesfull',
   token: services.createToken(user)
  })
 })
}

Y tengo un middleware que valida el header de autorización en las paginas que lo requieren.

Middleware de Autorización

 function isAuth (req, res, next) {
   if (!req.headers.authorization) {
     return res.status(403).send({message: 'No tienes autorización'})
   }
 const token = req.headers.authorization.split(' ')[1]
 services.decodeToken(token)
   .then(response => {
     req.user = response
    next()
 })
 .catch(response => {
    res.status(response.status).send({message: response.message})
 })
}

La autenticación funciona pero no se cual es la manera correcta de obtener los datos del usuario (nombre, avatar, etc) a través del token sin comprometer la seguridad de mi API.

Estoy utilizando el modulo jwt-simple para generar el token

1
  • Comparte qué módulo de NPM estás usando para crear un token. Incluso si buscas su doc por lo común vienen ejemplos de como codificar y decodificar un jwt :o
    – J.Correa
    el 18 sep. 2017 a las 20:40

2 respuestas 2

1

Un token JWT consta de tres partes:

  1. Un encabezado que incluye el metodo de encriptacion de la firma
  2. El contenido (o payload)
  3. La firma, que te garantiza que el mensaje no ha sido modificado

El código que verifica el token, debe estar del lado del servidor, pues necesitas el secreto para validarlo.

Del lado del cliente, no lo podrías validar (porque necesitarías transmitir el secreto, y eso compromete tu seguridad), pero no sería tan importante, porque no requieres autenticar lo que te manda el servidor. Pero si quieres obtener la informacion contenida en el payload, simplemente separa las tres partes (están separadas por .), y usa atob() para convertirlo a una cadena normal, luego usas JSON.parse() para convertir los datos a un objeto. Listo, ya puedes usar los datos.

No estoy seguro si estas usando la librería también del lado del cliente, pero puedes usarla, con el formato var decoded = jwt.decode(token, secret, true); (true indica que se debe omitir la validación de la firma)

0

Es tan sencillo como meter los datos del usuario en el payload. Si creas un objeto que guarde los datos que quieras (piensa que van a viajar en cada request, no es bueno que sea algo muy grande) y los añades al token, cuando recuperes el payload los tendrás.

La web de jwt-simple te muestra el siguiente ejemplo:

var jwt = require('jwt-simple');
var payload = { foo: 'bar' };
var secret = 'xxx';

// encode 
var token = jwt.encode(payload, secret);

// decode 
var decoded = jwt.decode(token, secret);
console.log(decoded); //=> { foo: 'bar' }

En tu código parece que User.find devuelve simplemente un string, podrías cambiar eso para que devolviese un objeto con los datos que necesitas y usarlo de payload.

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.