veo que passport esta descontinuado
Si bien aún no hay comunicado oficial de Jared Hanson, se puede deducir que sí por la fecha del último commit (04 de Mayo).
Hacerlo con JWT es realmente muy sencillo. Solo necesitas generar un token y un middleware que compruebe en cada petición a la API el token.
Beneficios
- Escalabilidad: los tokens se almacenan en el cliente mas no en el backend como lo haríamos si utilizáramos sesiones. De este modo la aplicación tiende a hacer más escalable.
- Seguridad: al no almacenarse en cookies tenemos un plus de seguridad contra ataques CSRF, ya evitamos que se manipule la sesión.
- Simplicidad: al ir el token como cabecera en cada petición, no se necesitamos hacer nada más que comprobar la integridad del token.
Ejemplo
Lo primero que debemos hacer es autenticar al usuario. Para esto mapeamos una ruta en nuestra API para ello; digamos https://example.com/api/auth
.
Paquetes necesarios
- express
- body-parser
- method-override
- jsonwebtoken
- bcrypt-nodejs
Autenticación y creación del token
import express from 'express';
import jwt from 'jsonwebtoken';
import bcrypt from 'bcrypt-nodejs';
const Router = express.Router();
Router.post('/auth', (request, response) => {
User.findOne({ name: request.body.name })
.then(user => {
if(!user) {
return response.json({
success: false,
message: 'Usuario inexistente'
});
}
if(!bcrypt.compareSync(request.body.password, user.password)) {
return response.json({
success: false,
message: 'Contraseña incorrecta'
});
}
const token = jwt.sign(user, app.get('phrase'), {
expiresInMinutes: 720 // 12 horas
});
return response.json({
success: true,
message: 'Usuario logueado',
token
});
});
});
export default Router;
Middleware
Luego, tenemos que escribir el middleware para comprobar el token en cada petición.
import express from 'express';
import jwt from 'jsonwebtoken';
const Router = express.Router();
Router.use((request, response, next) => {
const token = req.body.token || req.query.token || req.headers['x-access-token'];
if(token) {
jwt.verify(token, app.get('phrase'), (err, decoded) => {
if(err) {
return response.json({
success: false,
message: 'Token inválido. ¿Intentas bypassearme? >:|'
});
}
request.decoded = decoded;
next();
})
} else {
return response.json({
success: false,
message: 'No hay un token asociado a esta petición'
});
}
});
export default Router;
Finalmente asocias ese middleware con la url del API:
app.use('/api', AuthMiddleware);