0

Es seguro pasar en el token el id y el rol de un usuario(lo paso por el header), para verificar luego de confirmar el token si es administrador?

Por ejemplo:

const verifyToken = (req, res, next) => { 
  ... 
  const decoded = await jwt.verify(token, process.env.JWT_KEY);
  req.user = { id: decoded.user.id, role: decoded.user.role };
  next();
}

const isAdmin = (req, res, next) => {
  if (req.user.role !== "ADMIN") {
    return res.status(401).json({ error: "Unauthorized" });
  }
  next();
};

router.get("/", verifyToken, isAdmin, getUsers);

O cual es la forma segura de hacer esto? que debo pasar en el token? como puedo verificar que el usuario es administrador?

2
  • Siempre que el token no contenga información sensible es seguro usarlo así.
    – Lobos
    el 30 jun. 2022 a las 1:36
  • Aunque no se recomienda utilizar JWT por largos tiempos el 30 jun. 2022 a las 6:16

1 respuesta 1

2

La forma que propones es una forma segura de validar si el usuario es administrador, ya que por mucho que intercepten el token y lo alteren, mediante jwt se valida contra tu clave privada, por lo que detectarás de forma inmediata si ha habido alteración en el token.

Como comentario, el único tema, es que si paralelamente alguien de forma correcta ha modificado el rol del usuario y lo ha pasado a administrador, entiendo que como tu solo obtienes el rol en el momento del login, hasta que no se vuelva a realizar no se cargará de nuevo, por lo que perderás ese cambio de rol hasta una nueva identificación. Para mejorar este punto, seria mejor que mediante jwt cogieras el id del usuario y con este hicieras una consulta en la base de datos para validar que rol tiene asignado en el momento de la petición. Esto añade una consulta extra en la base de datos, incrementando el tiempo de ejecución, por lo que sino es crítico el cambio de rol entre logins, la forma que propones es correcta.

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.