5

Como usar o passport.js para controlar acesso usando a base de dados e o middleware do express.js.

Como fazer a lógica de login e como saber que a sessão já está autorizada cado o utilizador já tiver feito login?

1
  • Passei a tarde toda a partir a cabeça com isto... se alguém tiver outras maneiras seria interessante ouvir! Partilhei o que fiz mas há sempre mais maneiras de o fazer...
    – Sergio
    12/09/2015 às 21:01

1 Resposta 1

6

O passport integra-se bem nos middlewares do express e tem métodos asíncronos para fazer a verificação de autenticidade do user/pass.

No meu setup uso node-mysql e verifico com username e password (em hash MD5), e dividi a parte do passport em 3 partes:

  • configuração
  • autenticação no momento do login
  • verificação via middleware de req.user

Nota: Pelo que percebo o passport precisa do express-session que desde a versão 4 do expressjs é um módulo/middleware à parte.

como eu fiz:

Primeiro tratei da configuração do passport em todas as rotas de middleware. Isso inclui passar os middlewares para a rota onde tenho a parte segura do site: app.use('/admin', middleware.

Depois configurei também a parte de interação com a base de dados (MySql via node-mysql). Não includo a parte de iniciação da DB, mas junto no código a query que verifica o user/pass contra a base de dados usando o MD5 para gerar a hash da password.

Depois desta parte do login, que é diferente do middleware das páginas já com a autentificação feita, configurei o middleware que verifica se req.user está preenchido. O passport coloca nessa propriedade do request o user, e assim podemos saber que estamos numa sessão autorizada/autenticada.

O meu setup:

index.js

var express = require('express');
var passport = require('passport');
var session = require('express-session');

var app = express();
var sess = {
  secret: 'keyboard cat',
  cookie: {}
}

if (app.get('env') === 'production') {
  app.set('trust proxy', 1) // trust first proxy
  sess.cookie.secure = true // serve secure cookies
}

app.use('/admin',   session(sess));                         // enable sessions
app.use('/admin',   passport.initialize());                 // configuração do passport
app.use('/admin',   passport.session());                    // configuração do passport
app.use('/admin',   require('./routes/services/admin'));    // router para a zona que requer acesso

routes/services/admin.js

var md5 = require('md5');
var passport = require('passport');
var LocalStrategy = require('passport-local').Strategy;
var express = require('express');
var router = express.Router();

passport.use(new LocalStrategy(function(username, password, done) {
    // verificação de user/pass
    db.query('SELECT * FROM users WHERE username=? AND password=?', [username, md5(password)], function(err, rows){
        if (err) return done(err);
        var user = rows.length && rows[0].id; // podia passar mais info sobre o utilizador aqui
        done(null, user); // tudo ok! chamar a callback do passport
    });
}));

var authenticate = passport.authenticate('local', {
    // aqui pode configurar-se também sucessRedirect
    failureRedirect: '/admin/login',
    failureFlash: true
});

// configuração recomendada
passport.serializeUser(function(user, done) {
  done(null, user);
});
passport.deserializeUser(function(user, done) {
  done(null, user);
});

// middleware para verificar se a sessão está criada
function gateKeeper(req, res, next){
    if (req.user) next();
    else res.redirect('/admin/login');
}

// página de login
router.get('/login', function(req, res) {
    res.render('admin/login');
});

// tratar os dados de autenticação via POST com o middleware "authenticate"
router.post('/login', authenticate, function(req, res) {
    res.redirect('/admin/home');
});

// router para a parte segura, usando o middleware "gatekeeper"
router.get('/:page', gateKeeper, function(req, res) {
    res.send('Welcome to page ' + req.params.page); // resposta simplificada
});

Disclaimer:

Coloquei esta resposta depois de aprender à bruta como fazer. Se houver erros, maneiras melhores ou coisas que faltam: digam! Em forma de resposta nova ou comentário.

"Disclaimer" que dizer "para informação vou explicar algo para nõ pensarem mal de mim..." :)

Mais leitura (em inglês):

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .