0

Mi consulta es la siguiente , quiero manejar sesiones de usuarios ,es decir una cuenta,tenga c/u sus propias cosas , ademas quiero proteger mis apis,averiguando un poco ,he visto que puedo usar jwt en nodejs junto con sails para manejar las sesiones , tambien he visto que con passport puedo hacerlo,ahora bien ,con respecto a proteccion de apis he visto que se puede hacer con jwt.

-Para los que ya han trabajado con ello, que otras alternativas existen para manejar sesiones(veo que passport esta descontinuado) y segun su experiencia cual escogerian para la misma, lo mismo para la proteccion de apis.

1
  • Kevin, creo que deberías dividir tu pregunta en dos, porque las sesiones y las authenticaciones basadas en token son cosas muy diferentes. Commented el 23 sept. 2016 a las 12:46

2 respuestas 2

1

Para comenzar, deberíamos analizar la diferencia entre una sesión y un sistema de autenticación basada en tokens. JSON Web Token en este caso.

La principal diferencia es que JWT es stateless (sin estado), es decir, el servidor no mantiene el estado del cliente que se comunica. Por el otro lado, las sesiones si lo hacen. Dicho esto, con las sesiones el cliente se autentica una sola vez (por lo menos hasta que la sesión expire) pero el servidor necesita mantener un numero mínimo de datos de dicho cliente para mantener la sesión, por otro lado un token necesita ser enviado en cada petición al servidor para authenticar/validar la petición.

Piensa en los tokens como una pulsera de discoteca, (que previamente has comprado), puedes entrar y salir de dicha discoteca las veces que quieras, siempre y cuando presentes la pulsera en la entrada. En ese punto, es responsabilidad de la discoteca poder validar la pulsera, o sea, saber si es original, y no la has hecho tu mismo. A la discoteca no le importa donde la has comprado, cual es tu nombre, ni cuantas veces has entrado y salido, solo importa poder definir si la pulsera (token) es verdadera. Todo esto en el contexto de la autenticación claro está.

Para una API, usar JSON Web Token tiene varias ventajas:

  • JWTs es auto-contenido, se lleva información dentro de sí mismo, como la infomacion del usuario por ejemplo. Esto te puede ahorra consultas en la base de datos.

  • Se pueden transferir facilmente por todos lados. Esto es util por ejemplo, si tienes varios microservicios y quieres que varios clientes (una aplicacion web y una mobile) se autentiquen con un mismo token. Basta que los servidores implicados conozcan la salt que se empleo para aplicar el hash sobre el token.

  • Como es un estándar, puedes usarlo con diferentes tipos de plataformas y lenguajes de programación.

Si estas usando expressjs. Un buen punto de partida seria express-jwt.

2
  • antes de hacer una nueva pregunta me encuentro con esto, pero ya tengo un sistema de logeo con sails y nodejs, ahora me surge la necesidad de no cerrar la session, me he dado cuenta que despues de un cierto tiempo de inactividad en el navegador se cierra la sesion pero yo requiero que la sesion dure por lo menos 8hrs y puede que dentro de esas 8hr no haya intecccion del usuario, esto se configura dentro del servidor o mediante un archivo de sails? Commented el 6 mar. 2017 a las 18:16
  • Hola @AlbertoRojas, no conozco SailJS, pero generalmente cada framework te da la opcion de configurar cuanto tiempo un token es valido. Cosa que se configura del lado servidor, en algun archivo de configuracion o en una variable de entorno. Commented el 7 mar. 2017 a las 9:33
0

veo que passport esta descontinuado

Si bien aún no hay comunicado oficial de Jared Hanson, se puede deducir que sí por la fecha del último commit (04 de Mayo).

Hacerlo con JWT es realmente muy sencillo. Solo necesitas generar un token y un middleware que compruebe en cada petición a la API el token.

Beneficios

  • Escalabilidad: los tokens se almacenan en el cliente mas no en el backend como lo haríamos si utilizáramos sesiones. De este modo la aplicación tiende a hacer más escalable.
  • Seguridad: al no almacenarse en cookies tenemos un plus de seguridad contra ataques CSRF, ya evitamos que se manipule la sesión.
  • Simplicidad: al ir el token como cabecera en cada petición, no se necesitamos hacer nada más que comprobar la integridad del token.

Ejemplo

Lo primero que debemos hacer es autenticar al usuario. Para esto mapeamos una ruta en nuestra API para ello; digamos https://example.com/api/auth.

Paquetes necesarios - express - body-parser - method-override - jsonwebtoken - bcrypt-nodejs

Autenticación y creación del token

import express from 'express';
import jwt from 'jsonwebtoken';
import bcrypt from 'bcrypt-nodejs';

const Router = express.Router();

Router.post('/auth', (request, response) => {
  User.findOne({ name: request.body.name })
    .then(user => {
      if(!user) {
        return response.json({
          success: false,
          message: 'Usuario inexistente'
        });
      }
      if(!bcrypt.compareSync(request.body.password, user.password)) {
        return response.json({
          success: false,
          message: 'Contraseña incorrecta'
        });
      }
      const token = jwt.sign(user, app.get('phrase'), {
        expiresInMinutes: 720 // 12 horas
      });

      return response.json({
        success: true,
        message: 'Usuario logueado',
        token
      });
    });
});

export default Router;

Middleware

Luego, tenemos que escribir el middleware para comprobar el token en cada petición.

import express from 'express';
import jwt from 'jsonwebtoken';

const Router = express.Router();

Router.use((request, response, next) => {
  const token = req.body.token || req.query.token || req.headers['x-access-token'];
  if(token) {
    jwt.verify(token, app.get('phrase'), (err, decoded) => {
      if(err) {
        return response.json({
          success: false,
          message: 'Token inválido. ¿Intentas bypassearme? >:|'
        });
      }
      request.decoded = decoded;
      next();
    })
  } else {
    return response.json({
      success: false,
      message: 'No hay un token asociado a esta petición'
    });
  }
});
export default Router;

Finalmente asocias ese middleware con la url del API:

app.use('/api', AuthMiddleware);
5
  • Y para enviar el token en cada peticion desde el usuario ,necesitaria sails? , que otro framework en el cliente me recomendarias.
    – Kevin AB
    Commented el 23 sept. 2016 a las 20:58
  • El token se envía como cabecera en cada petición. No necesitas hacer nada.
    – gugadev
    Commented el 23 sept. 2016 a las 21:02
  • estas seguro? , no veo que lo pongas en los headers , al hacer login se envia al cliente , este no deberia almacenarlo , para los requests?
    – Kevin AB
    Commented el 23 sept. 2016 a las 21:39
  • Al hacer el login debes crear el token y enviarlo junto con la respuesta. El token se almacenará en el cliente y, como las cookies, se envían junto con cada petición.
    – gugadev
    Commented el 23 sept. 2016 a las 21:41
  • osea debo activar express cookie-parser para que se envien las tokens en cada peticion
    – Kevin AB
    Commented el 23 sept. 2016 a las 23:14

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.