1

Buenas, alguien sabe como es posible destruir un token en NodeJS? Estoy unsando JWT para hacer un reset password, entonces envio por email una url al usuario con un token, el sistema verifica el token usando jwt.verify() y si es correcto realiza la actualizacion de la contraseña, el problema es que este token queda activo digamos ya que tiene una duracion de 1h, y para darle mas seguridad no me gustaria que este token quede ahi siendo valido por 1h, asi que lo que quiero hacer es destruir el token el cual tengo luego de hacer la actualizacion de la contraseña para que solo se pueda usar una vez. Como se puede hacer esto con jwt?

1
  • Según esta comentando quiere que ese token deje actualizar la contraseña una sola vez. Y según lo que se de jwt, no he visto la forma de "destruir" un token. Por lo que a mi consideración, debería usar alguna información adicional en su token o desde su servidor hacer una validación adicional, indicando que dicho token ya no puede ser usado una segunda vez.
    – j-j suarez
    el 18 dic. 2018 a las 13:12

1 respuesta 1

4

Un token JWT no puede ser revocado. JWT es usado principalmente para autenticación de un sistema, no como identificador de algún proceso. Lo tuyo puede hacerse de dos formas:

  1. Generando una registro en alguna tabla con un campo que represente la fecha de cuando se solicitó la restauración de la contraseña.
  2. Generando un token con una fecha de expiración y, al actualizar su contraseña, eliminarse el token.

Usando una tabla

El siguiente ejemplo es usando sequelize y moment:

let email = req.params.email;
let now = Date.now();
models.RecoveryPwd.create({ email, now });

Cuando entre una petición de restauración de contraseña, compruebas si el plazo ya venció:

models.RecoveryPwd.findOne({
  email: req.params.email,
  state: 'active'
 })
 .then((request) => {
   if (request) {
     let now = moment();
     let requestTime = moment(request.date);

     if (now.diff(requestTime, 'days') >= 1) {
       res.jsonp({
         success: false,
         message: 'El tiempo límite ha expirado. Intente de nuevo'
       });
     } else {
       res.jsonp({ success: true });
     }
   }
 });

Usando un token

Usando un token es parecido, cuando se haga la petición de restauración de contraseña generas el token con un tiempo máximo.

jwt.sign(
  {
    email // guardamos el email en el token
  },
  'supersecreto',
  {
    expiresIn: '1d' // tiempo máximo 1d
  }
);

Éste token se guarda en sessionStorage:

sessionStorage.setItem('pwdRecovery', token);

Y cuando se clickee el botón de recuperación, se envía la petición al frontend para desde allí enviar la petición al backend enviando el token.

fetch('/url', {
  body: sessionStorage.getItem('pwdRecovery');
})
.then((res) => res.json())
.then(({ success, email }) => {
  if(success) {
    window.location = `/recovery/{email}`;
  } else {
    alert(res.message);
  }
});

Al recibir el backend el token, se comprueba si todavía no ha vencido:

let token = req.body.token;

try {
  let decode = jwt.verify(token);

  res.jsonp({
    success: true,
    email: decode.email
  });
} catch(e) {
   // expiró
   res.jsonp({
     success: false,
     message: 'El tiempo límite ha expirado. Intente de nuevo'
   });
}

Al final de éste proceso, si el token no ha vencido se redirigirá hacia: http://tuapp.com/[email protected], donde debes poner un formulario para que se actualice la contraseña y enviar la query email.

Cabe aclarar que el token debe ser eliminado del sessionStorage si éste ya ha expirado o si ya se cambió la contraseña.

1
  • Aunque esto funcionaría, me parece que estarías replicando artesanalmente el flujo que hace Oauth, lo cual me suena poco eficiente.
    – ffflabs
    el 13 jul. 2018 a las 13:40

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.