0

Estoy haciendo un sistema de publicaciones y comentarios.

Cada publicación tiene su código para crearla, con su respectivo _id, un usuario que la crea, y el texto y demás cosas.

A su vez, cada publicación va a contener comentarios, con su respectivo _id, usuario, publicación al que se refiere, y un texto.

Ambos códigos están creados y funcionan correctamente.

Lo que necesito hacer es crear códigos tanto para la edición, como para la eliminación de las publicaciones y comentarios, por los respectivos usuarios que los crearon en un principio.

Para empezar, tanto el login como el registro de usuarios utilizo middlewares de autenticación, por lo que para acceder al _id del usuario que está logueado, lo hago con req.user.sub;

Tengo, por ejemplo, el siguiente código:

function deleteComment(req, res){
    var commentId = req.params.id;

    Comment.find({'user': req.user.sub, '_id': commentId}).remove(err => {
        if(err) return res.satus(500).send({message: 'Error al borrar el comentario'});

        return res.status(200).send({message: 'Se ha eliminado el comentario'});

    });
}

Este código tiene como finalidad eliminar un comentario. Lo que sucede es lo siguiente: Paso como parámetro en la url el _id del comentario, en Comment.find busco el comentario con ese _id y con el mismo _id de usuario logueado que lo tomo desde req.user.sub y que está en user en el comentario. Si ambos coinciden, se borra el comentario y devuelve el mensaje en el status(200). Ahora, si estoy logueado con otro usuario, y el req.user.sub no coincide con el user del comentario, me devuelve el mismo mensaje, aunque el comentario no se elimina.

Lo que pensaba hacer es una especie de if que compare el usuario logueado con el user del comentario, pero no logro acceder al usuario del comentario.

Este es el modelo de los comentarios:

var CommentSchema = Schema({
    user: { type: Schema.ObjectId, ref: 'User'},
    publication: { type: Schema.ObjectId, ref: 'Publication'},
    text: String,
    created_at: String
});

En conclusión, lo que necesito hacer es buscar la manera de comparar el req.user.sub que me devuelve el _id del usuario que está logueado, compararlo con el campo user del comentario y realizar una u otra acción según corresponda.

Si el el _id del usuario coincide con el user del comentario, se podría eliminar o editar.

Si no coinciden, devolver el mensaje: 'No tienes permiso para realizar esta acción'.

Muchas gracias.

EDIT:

Este es el script que estoy probando:

function editComment(req, res){
    var commentId = req.params.id;
    var userId = req.user.sub;
    var update = req.body;

    Comment.findByIdAndUpdate({'user': req.user.sub, '_id': commentId}, update, {new: true}, (err, commentUpdated) => {
        if(err) return res.status(500).send({message: 'Error al editar el comentario'});

        if(!commentUpdated) return res.status(404).send({message: 'No se pudo editar el comentario'});

        return res.status(200).send({
            comment: commentUpdated
        });
    });
}

Efectivamente, me deja editar el comentario, pero cuando estoy logueado con otro usuario que no es el user del comentario, el comentario se actualiza de todas maneras... la idea es que no lo deje actualizar

1
  • Usé findOneAndModify en lugar de findByIdAndUpdate y al parecer funciona. De todas maneras, espero a ver si hay otras soluciones más óptimas el 27 oct. 2020 a las 13:14

1 respuesta 1

0

PROBLEMA

Se desea realizar una operación de actualización (bien sea modificando o eliminando) sobre una colección en MongoDB.

En tu pregunta muestras un código que no es una operación atómica:

Comment.find(filtro).remove(error => {
  // verificamos error
  // ??? cómo sabemos si se realizó la operación
  // esto no es un proceso atómico tampoco.
});

Por otro lado, estás usando una función obsoleta: Query.prototype.remove(), por lo cual tampoco es aconsejable hacerlo de esta forma.

Por último, en tu pregunta dices que tienes un middleware de autenticación, pero creo que deberías tener además un midleware de autorización. Recuerda que autenticación es diferente de autorización.

SOLUCIÓN

Primero vamos a corregir el problema de autenticación/autorización, ya que si atacamos este problema, todo lo demás será más fácil.

Autenticar y/o Autorizar, esa es la cuestión

Sabemos que un sistema de autenticación permite que sólo aquellos agentes identificados correctamente interactúen con los procesos de la aplicación. Tal como comentas, esa parte ya la tienes cubierta. Falta ahora verificar que quien ha sido autenticado tiene autorización para realizar o no una tarea específica.

En el caso que planteas, si bien desconozco la forma en que has organizado tus rutas, y tampoco sé los servicios expuestos, imagino que lo que deseas lograr es exponer los endpoints necesarios y suficientes para poder realizar operaciones CRUD con algún Modelo de Datos, en este caso el Modelo de Comentarios.

Supongamos que como usuario autenticado puedo hacer al menos 2 operaciones básicas: leer y escribir comentarios. Pero para realizar las otras 2 operaciones restantes (modificar y eliminar) debo tener la autorización suficiente.

Para hacer las cosas simples, supongamos que la autorización requerida es simplemente ser el dueño del dato que deseo modificar o eliminar. Es decir, un usuario autenticado sólo puede modificar o eliminar sus propios comentarios.

Partiendo de este principio tan sencillo, podemos crear una función middleware que simplemente verifique si el usuario es propietario del comentario o no.

const checkCommentAuth = (req, res, next) => {
  const userId = req.params.sub;
  const commentId = req.params.id;
  Comment.findById(commentId, (error, comment) => {
    if(error) {
      console.log(error.message);
      return next(error); // <- función que manejará el error
    }
    if(!comment) {
      // el comentario con ese _id no existe
      return res.status(404).json({
        message: 'Not Found'
      });
    }
    // si el comentario existe, verificamos que el usuario que intenta modificar es el propietario
    if(comment.user.toString() !== userId) {
      return res.status(401).json({
        message: 'Unauthorized'
      });
    }
    // si hemos llegado aquí, significa que el usuario es el propietario
    // puedo seguir con la operación
    return next();
  });
}

Podemos hacer lo mismo para cualquier otra publicación, pero te darás cuenta que el código se repite excepto tal vez por el nombre del Modelo de datos y los campos a ser comparados, por lo cual estaríamos rompiendo el principio DRY. Hay formas de evitar esto, las cuales implican usar patrones de diseño que ya estarían fuera del alcance de esta pregunta y no los abarcaré.

Ahora que ya hemos resuelto el problema de la autorización, debemos refactorizar el código para la actualización de datos.

Supongamos que vamos a eliminar un comentario, entonces la función middleware que se encarga de eso podría verse así:

const deleteComment = (req, res, next) => {
  // esta función solamente se encarga de eliminar el comentario
  const commentId = req.params.id;
  Comment.findByIdAndRemove(commentId, (error, removedComment) => {
    if(error) {
      console.log(error.message);
      return next(error); // función que maneja el error
    }
    if(!removedComment) {
      // no se realizó la operación, el comentario no existe!!!
      return res.status(404).json({
        message: 'No comment found'
      });
    }
    // si obtenemos un resultado se ha eliminado correctamente
    return res.status(201).json({
      message: 'Comment removed',
      comment: removedComment
    });
  });
}

Como se observa, esta función se encarga simplemente de eliminar el comentario que indicamos mediante el campo _id. No verifica si el usuario ha sido autenticado o autorizado, simplemente hace una tarea dentro de su responsabilidad.

Ahora, la cadena de middlewares para esta ruta podría verse así:

router.route('/comments/:id')
.get(authenticateUser, readComment)
.put(authenticateUser, checkCommentAuth, updateComment)
.delete(authenticateUser, checkCommentAuth, deleteComment);

Como se aprecia, la cadena de funciones middleware varía de acuerdo a la acción, una acción de lectura de un comentario sólo requiere que el usuario esté autenticado, pero una acción de actualización o de eliminación de un comentario requiere además que el usuario esté autorizado.

Un poco sobre Atomicidad

Hasta ahora no he tocado el tema de la atomicidad de las operaciones. Sin embargo, esto es muy sencillo de aplicar si estás trabajando con MongoDB 4.0 o superior y además tu servidor es un servidor de réplica.

Pero suponiendo que no es un servidor de réplica. Tenemos la garantía de que la función findByIdAndRemove() de Mongoose realiza una operación atómica, ya que la misma llama a la función findAndModify() de MongoDB, en la cual se establece que:

Cuando se modifica un sólo documento, tanto el método db.collection.findAndModify() como el método update() realizan una actualización atómica del documento.

Por lo tanto, si bien se hace una verificación previa para saber si el usuario tiene la autorización, luego la operación realizada sobre dicho documento es atómica.

Nota

Cuando usas alguno de los siguientes métodos:

  • Model.findByIdAndDelete()
  • Model.findByIdAndRemove()
  • Model.findByIdAndUpdate()
  • Model.findOneAndDelete()
  • Model.findOneAndRemove()
  • Model.findOneAndUpdate()
  • Query.findOneAndDelete()
  • Query.findOneAndRemove()
  • Query.findOneAndUpdate()

es probable que recibas el siguiente mensaje en consola:

DeprecationWarning: Mongoose: findOneAndUpdate() and findOneAndDelete() without the useFindAndModify option set to false are deprecated. See: https://mongoosejs.com/docs/deprecations.html#findandmodify

DeprecationWarning: collection.findAndModify is deprecated. Use findOneAndUpdate, findOneAndReplace or findOneAndDelete instead.

Eso indica que debemos establecer el siguiente parámetro de configuración cuando creamos la instancia de conexión de Mongoose:

mongoose.connect(uri, { useFindAndModify: false });

Más información en la documentación

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.