問題タブ [express-jwt]

トークンをCookieとして保存することとlocalStorageを使用することには、多くの違い/長所と短所があることを理解しています。この質問は、Cookie に格納する実際の実装に関する質問です。

トークンが Cookie 内に保存されている場合、ユーザーは常に検証され、トークンの使用が無意味になるため、私は混乱しています。トークンは常にサーバー側のセッション データに関連付けられます。

誰かが実装の詳細を説明できますか?

私はトークンベースの認証の初心者です。ユーザーを自分のサイトの特定のページに制限したい (認証を確認する) と、jwt がそれを実装する最良の方法であることがわかり、ここのチュートリアルに従いました: https://devdactic.com/restful-api-user-authentication-2 /ですが、ユーザーがページにアクセスするのをどのように制限できますか (ログインするように依頼します)? AuthInterceptorここで、著者は、認証部分のチェックを使用したと述べています。しかし、私は認証インターセプターと混同しています。ユーザーを制限する方法を説明できる人はいますか (コードの制限部分はサーバー側またはクライアント側であり、サーバー側の場合は でコード参照を使用できますnode.js)?

以下のように、各 API に JWT 承認を実装しています。

auth.js

index.js

JWT のエラー処理を除いて、すべて正常に動作しています。次のミドルウェアに移行する前にvalidateJwt(req, res, next);をどのように処理するかという機能がわかりません。Unauthorized Error stack

Node を初めて使用し、認証時に JWT を作成するように Node & Passport をセットアップしようとしています。

データベースに行ったり来たりする必要性を減らすために、「ステートレス認証メカニズム」を構築したいと考えています。

「ステートレス」になることで、共有シークレットまたは JWT が DB に保存されていない場合、サーバーが再起動すると、発行されたすべての JWT (ログインしているユーザー) が無効になるため、すべてのユーザーがアクセスするには新しい JWT が必要になると想定しています。保護されたルート。サーバーが再起動したり、新しいインスタンスがスピンされるたびに、ユーザーが再度ログインする必要はありません。

サーバーの再起動に影響を与えない同じ JWT を生成するために毎回使用できるノード環境に静的共有シークレットを渡すことができると思います。

質問:

1. 共有シークレットを渡すことをお勧めする場合、この共有シークレットをどこでどのように作成すればよいですか? そして、どの共有シークレットを渡す必要がありますか?

2. ただし、共有シークレットをノード環境に渡すことが適切な戦略ではない場合、私はすべての提案に耳を傾けますか?

アップデート

「キー」と言ったときは、共有秘密を意味していました。混乱しないように質問を更新します。

JWTを作成しようとしています。ここで提供される形式に従っています: https://jwt.io/

VERIFY SIGNATURE の下に、というプロパティがあります。secret

そのシークレットをコードで作成するにはどうすればよいですか? 任意の文字列にすることができますか、それとも特定の形式にする必要がありますか?

このブログのコードを使用して、Angular アプリの認証モジュールを作成しています。

ログインフォーム、送信ボタン、および制限されたルートを照会する「プロファイル」ボタンを含むテストページがあります。

ログイン後に照会している制限付きルートは次のように定義されています。

ログインは正常に機能します。sessionStorage に入れたトークンを受け取ります。プロフィール ボタン (/me へのリクエスト) をクリックすると、不正なエラーが発生します。

ページを更新してプロファイルをもう一度クリックすると、期待どおりの動作が得られます。(/me はエラーなしでユーザー データを返します)

その後手動でトークンを削除しても、ページを更新するまで /me にアクセスできます。

これは私のサービスです：

これは、httpProvider を使用したコントローラーです。

問題は、トークンを sessionStorage に保存すること、または http プロバイダーから発生する可能性がありますか?

最終的には安全な Cookie メソッドを実装しますが、先に進む前にこれを解決したいと思います。

I am new to MEAN stack. I am using jwt to authenticate api endpoint '/api/candidates'

In client-side/angular js service I have following entry

on the server-side I have :

This works fine. i.e. 'auth' is able to extract the token from the header

When i change everything to post instead of get :

on client-side

on server side :

I get an error from jwt as following:

Any suggestions on what is happening?. I can work with get but i want to know why post does not work