在 Node 中使用 Passport.js，我有办法让一个用户冒充另一个用户吗？例如。作为应用程序的管理员，我希望能够在不知道密码的情况下以其他用户身份登录。
最简单的是，如果我可以更改序列化的用户数据（用户 ID），我会很满意，所以当调用 deserializeUser 时，它只会假定备用用户的身份。我已经尝试替换 req._passport.session.user 的值和 req.session.passport.user 的值，但最终效果是我的会话似乎变得无效并且 Passport 将我注销。
【问题讨论】：
标签： javascript node.js passport.js
Passport 提供了一个req.logIn 方法，以防您想手动进行身份验证。您可以使用它来登录任何用户，无论身份验证如何。
以下是您可以使用它的方法。让管理员正常登录，他们将设置isAdmin 标志。
然后在您的登录路径中的passport.authenticate 之前放置一个中间件。如果当前登录用户isAdmin，这将仅根据用户名登录新用户。
app.post('/login',
function forceLogin(req, res, next) {
if (!req.user.isAdmin) return next(); // skip if not admin
User.findOne({
username: req.body.username // < entered username
}, function(err, user) {
// no checking for password
req.logIn(user);
res.redirect('/users/' + user.username);
});
},
passport.authenticate('local'),
function(req, res) {
res.redirect('/users/' + req.user.username);
}
);
【讨论】：
我还有另一种模仿方式，因为：
我做的是：
为具有超级管理员角色的用户提供模拟路径，例如 /superadmin/impersonate?username=normaluser1 设置 req.user.impersonated.userid = normaluser1.userid
然后我有一个中间件，它检查用户是否是超级管理员并被模拟：
if (req.user.isAdmin && req.user.impersonated) { req.user.userid = req.user.impersonated.userid; }
另外，我发现this 是一篇关于用户模拟的好文章。与我的方法类似，对于构建类似的东西很有启发。
【讨论】：
您的问题的答案是基本上：不。原因是：99% 的时间都在使用的会话库正在签署 cookie，因此如果您篡改数据，Web 服务器将拒绝它。
解决此问题的方法是编写您自己的护照身份验证策略，但显然不会这样做，但我假设您在这里谈论的是使用内置策略。
【讨论】：