有没有办法在发布请求中授权快速会话？

Question

我正在尝试确认用户正在发出发布请求，这样任何人都不能只是发布到 URL 并做一些恶意的事情。我如何使用快速会话来做到这一点？还是有更好的方法？

我已经尝试过了，但我猜 req post 中不存在会话。

router.post('/delete', function (req, res, next) {
  if (req.session.user.role === 'owner') {
    // Authorized
    // delete user here then redirect
    res.redirect('/admin');
  } else {
    // Unauthorized
    return res.redirect('/');
  }
})

Answer 1

这可以通过多种方式完成。一种方法是在标头中发送令牌。要执行授权，可以使用中间件。如下

身份验证中间件：-

const auth = (req, res, next) => {
    const token = req.header('auth-token');
    if(!token) return res.status(401).send('Access denied. No token provided.');

    try{
        const decoded = jwt.verify(token, 'PRIVATE KEY'); // decoding token
        req.user = decoded; // add token details to req
        next();
    }catch (ex){
        res.status(400).send('Invalid Token');
    }
}

授权中间件：-

const admin = (req, res, next) => {
    if(!req.user.isAdmin) return res.status(403).send('Access denied.');

    next();
}

在路由器中，您可以简单地使用负责身份验证和授权的中间件

router.post('/delete', [auth, admin],  function (req, res, next) {
  // do required operation
})