仅在某些路径上的 Node.js 客户端证书身份验证

Question

我有一个基于 node.js 的 Web 应用程序，它需要来自客户端的安全 (https) 连接。我想要的是在某些路径上需要客户端证书身份验证，而在其他路径上则不需要。

例如。如果用户转到https://www.example.com/main，则服务器不需要客户端证书身份验证（因此浏览器不会询问任何内容）。但是如果用户导航到https://www.example.com/secure，则需要客户端证书身份验证（因此浏览器会弹出一个对话框选择使用哪个证书）。

我怎样才能做到这一点。如果我将requestCert:true 和rejectUnauthorized:true 传递给https.createServer 选项，我可以强制客户端证书身份验证。这种方法的问题是每个路径都需要客户端证书。

Answer 1

我来到这里是因为我正在处理同一个问题，并将分享我正在采取的方法。对于要求用户使用有效证书进行身份验证的端点，我使用附加到需要证书的端点的自定义路径，并验证用户是否已使用证书进行身份验证，如果他们正在访问遵循该路径的任何端点（假设为 express 应用程序）。即：

app.use('/api/cert', function(req, res, next){
    //validate that any token passed in the request was generated for a valid
    //cert login, otherwise reject request

    //pseudo-code
    if(isValidCertToken(req.authentication.token)) {
        next(); //this will pass it on to the correct endpoint in the /api/cert/[whatever] chain
    } else {
        req.status(401).send({error: 'invalid login, cert required'});
    }
});

这将要求您允许用户通过将 requestCert 标志设置为 true 来使用证书进行身份验证，但如果用户不希望使用“需要证书”的端点，也将允许其他身份验证方法因为在设置 https 连接时 rejectUnauthorized 设置为 false。

Answer 2

我认为这个问题可以通过使用Node.js包http-proxy-middleware设置反向代理/API网关来解决，该包与express（我们正在使用的Web服务器包）兼容。

如 Node.js 包主页上的示例所示，可以这样完成： 1. 按照 http-proxy-middleware 使用的约定定义 UNAUTH 和 AUTH API 的重定向，并在下一步中使用。

1. 在所需端口（比如 3000）上启动一个快速 HTTPS 网络服务器，并将 http-proxy-middleware 配置为充当反向代理/API 网关。无需在 https.createServer 选项中设置 requestCert 和 rejectUnauthorized。

2. 在另一个端口（比如 3001）上启动一个快速 HTTPS 网络服务器来服务 UNAUTH API 请求。无需在 https.createServer 选项中设置 requestCert 和 rejectUnauthorized。

3. 在另一个端口（比如 3002）上启动一个快速 HTTPS 网络服务器来服务 AUTH API 请求。将 requestCert:true 和 rejectUnauthorized:true 设置为 https.createServer 选项。

UNAUTH 请求将从 3000 到 3001 来回路由，AUTH 请求将从 3000 到 3002 来回路由。

Answer 3

您可以通过 TLS 重新协商实现此目的，但遗憾的是 TLS 1.3 不支持此功能，因此您必须禁用它：

https
    .createServer(
        {
            // configure key, cert, ca,
            secureOptions: require('constants').SSL_OP_NO_TLSv1_3,
        },
        function (req, res) {
            if (req.url.startsWith('/secure')) {
                req.socket.renegotiate(
                    {
                        requestCert: true,
                        rejectUnauthorized: true,
                    },
                    err => {
                        if (err) {
                            console.log('Renegotiation failed', err);
                            res.writeHead(500);
                            res.end('Internal Server Error');

                            return;
                        }

                        // handle secure content
                    },
                );
            } else {
                // handle main content
            }
        },
    )
    .listen(443);

Answer 4

我不确定我是否完全理解你想要什么。但根据我的理解，如果你使用 express，你可以通过一个简单的中间件来管理这个东西。在那个中间件中，你可以跟踪任何一个请求通过这个来自http或https

HTTPS 连接具有 req.connection.encrypted（包含有关 SSL 连接信息的对象）。 HTTP 连接没有 req.connection.encrypted。

另外（来自文档）：

使用 HTTPS 支持，使用 request.connection.verifyPeer() 和 request.connection.getPeerCertificate() 获取客户端的身份验证详细信息。

我希望这会有所帮助..