通过 REST 端点使用 JSON 对象更新 Mongoose 模式

Question

我有一个使用 JSON 对象（用户）提交的 REST 端点，我只是将相应的 mongo 记录设置为该 JSON 对象。这省去了我在服务方法和端点中更新模式更改的麻烦，只留下 Mongoose 模型进行更新。

如果有的话，什么是更安全的方法？

用户 JSON 示例

{
  'fname': 'Bill',
  'lname': 'Williams',
  'email': 'bill@billwilliams.com',
  'settings': {
    'strokeColor': '#FF0000'
  }
}

来自我的 Angular 服务

Update: function(my_user) {
  return $http.put('http://api.domain.com/v1/api/users/' + _user.id, {
    user: my_user,
    token: window.localStorage['token']
  });
}

我在 Node 中的 REST 端点

api.route('/users/:user_id')
  .put(function(req, res) {

    User.findById(req.params.user_id, function(err, user) {
      userData = req.body.user;

      if (user) {
        //-- This is potential trouble area?
        User.update({'_id': user._id}, {$set: userData});

      user.save(function(err) {
          res.json({
            success: true,
            message: 'User updated'
          });
  }); //-- end findById()
}); //-- end /users/:user_id put() route

Answer 1

看看Jsonwebtoken。

它基本上是这样工作的：

1. 创建一个 REST 端点，让用户可以使用特定的 有效载荷（例如 id）
2. 使用 Jsonwebtoken 中间件保护 api 的相关部分（如果使用 express 作为网络服务器）
3. 用户将令牌添加到每个请求标头（通过使用 $httpInterceptor）
4. 在服务器端检查令牌在请求到达您的 API

令牌可能会在一段时间后过期（当用户需要先注册时很有用），这增加了额外的安全性。