Node.js用户名和密码认证

Question

我目前正在使用Node.js和Express.js构建一个web应用程序。

我正在寻找一种方式来与我的主要app.js文件中的用户名和密码，在http://www.domain.com/login听了一post请求一个简单的服务器端认证：

app.js

app.post('/login', function(req, res) { 
    // some server-side code for a username and password 
} 

在客户端，我有一个带有用户名和密码的简单登录表单。这种形式将发布到服务器：

的index.html

<form method="post" action="/login"> 
<input type="text" id="user" name="user" /> 
<input type="password" id="pass" name="pass" /> 
<button type="submit">Login</button> 
</form> 

我期待实现这一不使用任何ExpressJS插件。

编辑：所以我的问题是，如何在ExpressJS和NodeJS中实现简单的用户名和密码认证？

Answer 1

I found the answer我一直在寻找使用附带ExpressJS的Connect中间件，没有需要使用Cookie或在另一个节点模块添加：

var express = require('express'); 

function authorize(username, password) { 
    return 'someone' === username & 'password' === password; 
} 

var app = express.createServer(
    express.basicAuth(authorize) 
); 

app.get('/', function(request, response) { 
    response.send('Authorized!'); 
}); 

console.log('Starting server...') 
app.listen(8080); 

运行应用程序并导航到http://localhost:8080后，它会提示为用户名和密码。 Simples。

Answer 2

这很简单。 ExpressJS是一个超级小型框架，它建立在Node.js中的基本http服务器的顶层，并连接一个节点模块。

要制作身份验证系统，您需要使用会话。首先，你需要调用这一行：

app.use(express.cookieSession()); 

然后你就可以使用req.session存储和加载会话。

app.post('/login', function(req, res) { 
    if (req.session.username & req.session.password != null) { 
     // Already logged in. 
    } else { 
     var q = db.query("SELECT * FROM `users` WHERE `username`='" + req.params.username + "' AND `password`='" + req.params.password + "'"); 

     if (q) { 
      // Set the sessions. 
      req.session.username = req.params.username; 
      req.session.password = req.params.password; 
     } 
    } 
}); 

一个基本的例子。你一定要清理输入并保护它，但它应该让你开始。

Answer 3

通过使用ExpressJS会话，您可以持有会话cookie。您需要cookieParser和会话存储。但是如果你不想扩展这个ExpressJS功能（这是我从你的消息中理解的），你应该用一个令牌或一个秘密的临时字符串管理你自己的会话。

尽管我强烈建议您使用ExpressJS会话，但您无需使用ExpressJS cookie即可完成此操作。

• 在每次登录时，创建一个唯一的令牌并将其存储以供将来查找。
• 在每个请求上，从客户端发送该令牌并在服务器上进行检查。重定向到登录如果令牌是无效

这里是登录代码示例：

app.post("/login", function(req, res) { 
    if(req.body.username && req.body.password) { 
     // check username and password 
     if(authenticated) { 
      // create a token and store it with the current date (if you want it to expire) 
      var token = generateAndStoreRandomString(req.body.username); 
      res.redirect("http://your.domain/path?token=" + token); 
      return; 
     } 
     // Do something if username or password wrong 
    } 
    // Do something if no username or password 
}); 

现在，在每次请求：

app.get("somePath", function(req, res) { 
    if(!req.query.token) { 
     res.redirect("http://your.domain/login"); 
     return; 
    } 
    // Check token in database, if it exists and it hasn't expired 
    if(!authenticated) { 
     res.redirect("http://your.domain/login"); 
     return; 
    } 
    // The user is authenticated. Do the actions required by "somePath" 
}); 

尝试有一个过程清理偶尔会过期令牌，因为它们最终会加起来。如果你想使用ExpressJS cookieParser和会话存储，那么有很多文章和例子。如果您遇到麻烦，请发表另一个问题。

我会重复自己，尝试使用ExpressJS会话。如果您使用http而不是https，则可以轻松劫持此方法。