使用身份验证中间件安排路由

Question

我有很多路线。 他们中的大多数都需要身份验证。 一个没有。

他们在这里：

router.get('/secure1', function (req,res) {...})
router.get('/secure2', function (req,res) {...})
router.get('/secure3', function (req,res) {...})
router.get('/:id', function (req,res) {...})

1. 假设我没有公共路线。

我可以在页面顶部放置一个安全检查中间件，一切都很好。 它只会让安全连接通过，并且会重定向非安全连接。

router.use(function (req,res,next) {
   securityCheck()
   next()
})
router.get('/secure1', function (req,res) {...})
router.get('/secure2', function (req,res) {...})
router.get('/secure3', function (req,res) {...})
router.get('/:id', function (req,res) {...})

这会奏效。这使得所有安全路由都安全，但它阻止了我使用公共路由（'/:id'）。

2.我可以将公共路线移到顶部：

router.get('/:id', function (req,res) {...})
router.use(function (req,res,next) {
   securityCheck()
   next()
})
router.get('/secure1', function (req,res) {...})
router.get('/secure2', function (req,res) {...})
router.get('/secure3', function (req,res) {...})

但这样它会捕获我的所有请求，并且所有安全路径都无法访问。

3.我可以在每条安全路由上放置一个中间件，但这似乎有点乏味并且容易出现人为错误：

router.get('/secure1',securityCheck(), function (req,res) {...})

那么，我没有考虑过更好的选择吗？什么被认为是最佳实践？

谢谢

Answer 1

在您的选择中，我个人更喜欢第一个。在中间件中，您始终可以检查 req.path 或 req.url 以选择要设置为安全的内容。

另一种选择是使用 .htaccess 中的 HTTP 身份验证。看看https://github.com/http-auth/http-auth。

我之前进行身份验证的一种方法是将用户名/密码作为 json 传递给请求正文一次，然后为将来的请求生成一个无状态令牌 (https://github.com/auth0/node-jsonwebtoken)。在我的情况下，没有多少路由器条目需要身份验证，所以我自己处理条目。

此外，为了提高安全性，请使用 HTTPS 或对您的数据进行编码。例如。 How to create an HTTPS server in Node.js?

希望对您有所帮助！

Answer 2

如果 /:id 应该匹配特定模式，比如 MongoDB ObjectId，您可以使匹配更加具体，这样它就不会匹配其他路由：

router.get('/:id([a-fA-F0-9]{24})', function (req,res) {...})

如果你想匹配 ObjectId 的 或 什么都没有，你可以使用这个：

router.get('/:id(|[a-fA-F0-9]{24})', ...);

更多信息here（path-to-regexp 是 Express 用来执行 URL 匹配的模块）。