Dentro de ese if donde esta el console.log('ok')
me gustaria por ejemplo crear una cookie que dure 1 hora
Las cookies se crean en el servidor y son enviadas al cliente, así, con cada petición se envían implícitas.
Ejemplo de login en Express:
Nota: se necesita instalar los middleware cookie-parser
y cookie-session
`.
// registramos el middleware
app.use(session({
secret: 'Sup3R$ecR3t'
cookie: {
httpOnly: true,
expires: new Date(Date.now() + 60000)
}
});
La forma recomendada es guardar la información directamente en memoria.
Nota: se necesita instalar los middleware cookie-parser
y express-session
`.
app.use(session({
secret: 'Sup3R$ecR3t',
saveUninitialized: false,
cookie: {
expiress: new Date(Date.noe() + 60000),
httpOnly: true
}
});
En ésta forma, los datos de sesión se guardan en memoria, ya no en una cookie como sucede con el ejemplo anterior. Lo único que se guarda en una cookie aquí es el id de la sesión del usuario.
Una vez añadido el middleware de sesión, cuando se loguee un usuario y se toque el objeto session
de request
empezará su sesión.
app.post('/login', (req, res) => {
let { email, password } = req.body;
UserRepository.login(email, password)
.then(logged => {
if(logged) { // login correcto
res.session.user = { email };
res.jsonp({ success: true });
} else {
res.jsonp({
success: false,
message: 'Email o contraseña incorrecta'
});
}
});
No se si esta es la forma correcta, lei algo de JWT pero es extremadamente dificil para alguien nuevo en estoy y la verdad este sitio no necesita demaciada seguridad
En ese caso te es suficiente usar cookies. Por otro lado, JWT no es difícil, en realidad es bastante sencillo, solo consta de crear un token y enviarlo al cliente como con las cookies, así, en cada petición éste token será enviado al servidor.
¿Qué es JWT?
JWT es un estándar abierto (RFC 7519) que define una manera segura de establecer comunicación entre dos partes. La importancia de éste estándar es que la información que se comparta es firmada digitalmente, lo que implica un plus importante de seguridad. De hecho, JWT se puede firmar usando el clásico algoritmo HMAC
o con una clave RSA
.
Cuando se usa JWT, la autorización se guarda en el cliente, generalmente en localStorage
y en cada petición que se haga al servidor es enviado en la cabecera Authorization
con el valor Bearer <token>
.
El siguiente ejemplo simula un login usando jsonwebtoken
.
Primero creamos una función que cree un token:
const jwt = require('jsonwebtoken');
function createToken (user) {
return jwt({
user,
secret: 'MySecret',
expiresInMinutes: 60
});
}
Segundo hacemos el login, si éste es exitoso, se genera el token y se envía al cliente:
app.post('/login', (req, res) => {
UserRepository.login(email, password)
.then(user => {
if (user) {
res.jsonp({
success: true,
user,
token: createToken(user)
});
}
});
Cuando el usuario acceda a cualquier recurso (sea API o lo que sea), se decodifica el token que está implícito en la cabecera Authorization
y se compara. Para ésto podemos implementar un middleware que lo haga en cada petición.
app.use('/app', (req, res, next) => {
// no hay cabecera Authorization, por ende,
// el usuario no se ha logueado
if (!req.headers.authoritzation) {
// redirigimos hacia login
return res.status(403).redirect('/login');
}
const token = req.headers.authorization.split(' ')[0];
jwt.decode(token, 'MySecret', (err, decoded) => {
if(err) {
return res.status(403).redirect('/login');
}
next(); // payload verificado, prosigue ;)
});
});
Cuando el token expire, el token no será enviado en la petición y el middleware redigirá hacia /login
.
Algunas ventajas de JWT son:
- Fácil escalado horizontal
- Útil para implementar APIs RESTful seguras
- Tienen un mecanismo de "auto expiración" integrado