Question

我正在使用express-jwt设置基于令牌的身份验证，但如果令牌丢失或无效则发送错误消息的中间人无效。

index.js文件

const express = require('express');
const router = express.Router();
const {getAllUsers: findUser} = require('../controllers/users');
const {register: registerUser, login: loginUser} = require('../controllers/authentication');
const jwt = require('express-jwt');
const auth = jwt({
secret: process.env.JWT_SECRET,
userProperty: 'auth'
});
// users
router
.route('/users', auth)
.get(findUser);

// registration
router
.route('/register')
.post(registerUser);

// login
router
.route('/login',auth)
.post(loginUser);

module.exports = router;

用户控制器：

const mongoose = require('mongoose');
const User = mongoose.model('Users');

let getAllUsers = (req,res) => {

 User.find((err,user)=>{
  if(user){
      res
          .status(200)
          .json({user})
    }
   });
};

module.exports = {
   getAllUsers
};

app.js文件：

require('dotenv').load();
const express = require('express');
const path = require('path');
const favicon = require('serve-favicon');
const logger = require('morgan');
const cookieParser = require('cookie-parser');
const bodyParser = require('body-parser');
const passport = require('passport');

require('./app_api/models/db');
require('./app_api/config/passport');

const index = require('./app_server/routes/index');
const apiRoutes = require('./app_api/routes/index');


const app = express();

// view engine setup
app.set('views', path.join(__dirname, 'app_server','views'));
app.set('view engine', 'ejs');

// uncomment after placing your favicon in /public
//app.use(favicon(path.join(__dirname, 'public', 'favicon.ico')));
app.use(logger('dev')); 


   app.use(bodyParser.json());
   app.use(bodyParser.urlencoded({ extended: false }));
   app.use(cookieParser());
   app.use(express.static(path.join(__dirname, 'public')));



 app.use(passport.initialize());

   app.use('/', index);
   app.use('/api', apiRoutes);

   //error handlers
  // catch unauthorised errors
  app.use(function (err, req, res, next) {
    if (err.name === 'UnauthorizedError') {
        res.status(401).send('invalid token...');
    }
});
// catch 404 and forward to error handler
app.use(function(req, res, next) {
  const err = new Error('Not Found');
  err.status = 404;
  next(err);
});

// error handler
app.use(function(err, req, res, next) {
  // set locals, only providing error in development
  res.locals.message = err.message;
  res.locals.error = req.app.get('env') === 'development' ? err : {};

  // render the error page
  res.status(err.status || 500);
  res.render('error');
});


module.exports = app;

我在users路由上设置中间件，返回所有用户的列表。但只有授权用户才能访问该列表。

中间件似乎没有工作，因为即使我不发送令牌，我仍然可以获得用户列表。我做错了什么？

请注意：我正在使用POSTMAN对此进行测试。

更新（找出问题）：

这是一个非常简单的修复，不能相信我之前没有看到它。问题出在我放置auth的位置。

我将它放在route网址之后，如此：

router
 .route('/users', auth)
 .get(findUser);

正确的做法是：

router
 .route('/users')
 .get(auth, findUser);

以上解决了我的问题。

Answer 1

根据存储库中的README，您应该检查请求中是否存在user属性。

JWT身份验证中间件使用JWT对呼叫者进行身份验证。如果令牌有效，则将使用JSON对象设置req.user 解码后供中间件用于授权和访问控制。

您的findUser函数应该处理它

function findUser(req, res) {
  if (!req.user) return res.sendStatus(401);
  // do something else
}

您也可以考虑将userProperty更改为requestProperty。

express jwt - 身份验证中间件问题

1 个答案: