Authentifizieren von Node.js-Anwendungen mit Passport

() translation by (you can also view the original English article)

Die Implementierung robuster Authentifizierungsstrategien für jede Anwendung kann eine entmutigende Aufgabe sein, und Node.js-Anwendungen bilden hier keine Ausnahme.

In diesem Tutorial entwickeln wir eine Node.js-Anwendung von Grund auf und verwenden eine relativ neue, aber sehr beliebte Authentifizierungs-Middleware - Passport, um unsere Authentifizierungsprobleme zu lösen.

Die Dokumentation von Passport beschreibt es zu Recht als "einfache, unauffällige Authentifizierungs-Middleware für Node".

Indem Passport sich selbst als Middleware bereitstellt, leistet es hervorragende Arbeit, die anderen Anliegen einer Webanwendung von ihren Authentifizierungsanforderungen zu trennen. Es ermöglicht die einfache Konfiguration von Passport in jede Express-basierte Webanwendung, genau wie wir andere Express-Middleware wie Protokollierung, Body-Parsing, Cookie-Parsing, Session-Handling usw. konfigurieren.

Dieses Tutorial setzt ein grundlegendes Verständnis von Node.js und dem Express-Framework voraus und versucht, sich auf die Authentifizierung zu konzentrieren, obwohl wir eine Express-Beispielanwendung von Grund auf erstellen und fortfahren, indem wir Routen hinzufügen und einige dieser Routen authentifizieren.

Authentifizierungsstrategien

Passport bietet uns über 140 Authentifizierungsmechanismen zur Auswahl. Sie können sich bei einer lokalen/entfernten Datenbankinstanz authentifizieren oder das Single Sign-On mit OAuth-Anbietern für Facebook, Twitter, Google usw. verwenden, um sich bei Ihren Social-Media-Konten zu authentifizieren, oder Sie können aus einer umfangreichen Liste von Anbietern wählen, die die Authentifizierung unterstützen mit Passport und stellen dafür ein Knotenmodul bereit.

Aber keine Sorge: Sie müssen keine Strategie/Mechanismen einbeziehen, die Ihre Anwendung nicht benötigt. Alle diese Strategien sind unabhängig voneinander und als separate Knotenmodule verpackt, die bei der Installation der Middleware von Passport standardmäßig nicht enthalten sind: npm install passport

In diesem Tutorial verwenden wir die lokale Authentifizierungsstrategie von Passport und authentifizieren die Benutzer gegen eine lokal konfigurierte Mongo-DB-Instance, wobei die Benutzerdetails in der Datenbank gespeichert werden. Um die lokale Authentifizierungsstrategie zu verwenden, müssen wir das Modul passport-Local installieren: npm install passport-Local

Aber warten Sie: Bevor Sie Ihr Terminal starten und diese Befehle ausführen, erstellen wir zunächst eine Express-App von Grund auf und fügen ihr einige Routen hinzu (für Login, Registrierung und Home) und versuchen dann, unsere Authentifizierungs-Middleware hinzuzufügen. Beachten Sie, dass wir in diesem Tutorial Express 4 verwenden werden, aber mit einigen kleinen Unterschieden funktioniert Passport auch mit Express 3 genauso gut.

Einrichten der Anwendung

Wenn Sie es noch nicht getan haben, dann installieren Sie Express & express-generator, um eine Boilerplate-Anwendung zu generieren, indem Sie einfach express passport-mongo auf dem Terminal ausführen. Die generierte Anwendungsstruktur sollte wie folgt aussehen:

Entfernen wir einige der Standardfunktionen, die wir nicht verwenden werden. Löschen Sie die Route users.js und entfernen Sie ihre Referenzen aus der Datei app.js.

Hinzufügen von Projektabhängigkeiten

Öffnen Sie package.json und fügen Sie die Abhängigkeiten für das Modul passport und passport-local hinzu.

1	"passport": "~0.2.0",
2	"passport-local": "~1.0.0"

Da wir die Benutzerdetails in MongoDB speichern, verwenden wir Mongoose als unser Objektdatenmodellierungstool. Eine andere Möglichkeit, die Abhängigkeit von package.json zu installieren und zu speichern, besteht darin, Folgendes einzugeben:

1	npm install mongoose --save

package.json sollte so aussehen:

Installieren Sie nun alle Abhängigkeiten und führen Sie die Boilerplate-Anwendung aus, indem Sie npm install && npm start ausführen. Es wird nun alle Abhängigkeiten herunterladen und installieren und den Knotenserver starten. Sie können die grundlegende Express-App unter http://localhost:3000/ überprüfen, aber es gibt nicht viel zu sehen.

Wir werden dies sehr bald ändern, indem wir eine vollwertige Express-App erstellen, die nach einer Registrierungsseite für einen neuen Benutzer und dem Login eines registrierten Benutzers fragt und den registrierten Benutzer mit Passport authentifiziert.

Mungo-Modell erstellen

Da wir die Benutzerdetails in Mongo speichern, erstellen wir ein Benutzermodell in Mongoose und speichern dieses in models/user.js in unserer App.

var mongoose = require('mongoose');

module.exports = mongoose.model('User',{
        username: String,
	password: String,
	email: String,
	gender: String,
	address: String
});

Grundsätzlich erstellen wir ein Mongoose-Modell, mit dem wir CRUD-Operationen an der zugrunde liegenden Datenbank durchführen können.

Mongo konfigurieren

Wenn Sie Mongo nicht lokal installiert haben, empfehlen wir Ihnen, Cloud-Datenbankdienste wie Modulus oder MongoLab zu verwenden. Das Erstellen einer funktionierenden MongoDB-Instanz mit diesen ist nicht nur kostenlos, sondern nur mit wenigen Klicks möglich.

Nachdem Sie eine Datenbank auf einem dieser Dienste erstellt haben, erhalten Sie eine Datenbank-URI wie mongodb://<dbuser>:<dbpassword>@novus.modulusmongo.net:27017/<dbName>, die verwendet werden kann, um CRUD-Operationen auf . auszuführen die Datenbank. Es ist eine gute Idee, die Datenbankkonfiguration in einer separaten Datei zu speichern, die bei Bedarf abgerufen werden kann. Als solches erstellen wir ein Knotenmodul db.js, das wie folgt aussieht:

1	module.exports = {
2	'url' : 'mongodb://<dbuser>:<dbpassword>@novus.modulusmongo.net:27017/<dbName>'
3	}

Wenn Sie wie ich eine lokale Mongo-Instanz verwenden, ist es an der Zeit, den mongod-Daemon zu starten und die db.js sollte so aussehen

1	module.exports = {
2	'url' : 'mongodb://localhost/passport'
3	}

Jetzt verwenden wir diese Konfiguration in app.js und stellen eine Verbindung mit Mongoose-APIs her:

1	var dbConfig = require('./db.js');
2	var mongoose = require('mongoose');
3	mongoose.connect(dbConfig.url);

Passport konfigurieren

Passport stellt nur den Mechanismus zur Verfügung, um die Authentifizierung zu handhaben, wobei die Verantwortung für die Implementierung der Sitzungsbehandlung selbst besteht, und dafür werden wir express-session verwenden. Öffnen Sie app.js und fügen Sie den folgenden Code ein, bevor Sie die Routen konfigurieren:

// Configuring Passport
var passport = require('passport');
var expressSession = require('express-session');
app.use(expressSession({secret: 'mySecretKey'}));
app.use(passport.initialize());
app.use(passport.session());

Dies ist erforderlich, da wir möchten, dass unsere Benutzersitzungen von Natur aus persistent sind. Bevor wir die App ausführen, müssen wir express-session installieren und zu unserer Abhängigkeitsliste in package.json hinzufügen. Geben Sie dazu npm install --save express-session ein.

Serialisieren und Deserialisieren von Benutzerinstanzen

Passport muss auch die Benutzerinstanz aus einem Sitzungsspeicher serialisieren und deserialisieren, um Anmeldesitzungen zu unterstützen, sodass jede nachfolgende Anforderung nicht die Benutzeranmeldeinformationen enthält. Dafür stehen zwei Methoden serializeUser und deserializeUser zur Verfügung:

passport.serializeUser(function(user, done) {
  done(null, user._id);
});

passport.deserializeUser(function(id, done) {
  User.findById(id, function(err, user) {
    done(err, user);
  });
});

Verwenden von Passstrategien

Wir werden nun die Strategien von Passport für den Umgang mit Login und Registrierung definieren. Jeder von ihnen wäre eine Instanz der lokalen Authentifizierungsstrategie von Passport und würde mit passport.use() erstellt Funktion. Wir verwenden connect-flash, um uns bei der Fehlerbehandlung zu helfen, indem wir Flash-Nachrichten bereitstellen, die dem Benutzer bei Fehlern angezeigt werden können.

Anmeldestrategie

Die Login-Strategie sieht wie folgt aus:

// passport/login.js
passport.use('login', new LocalStrategy({
    passReqToCallback : true
  },
  function(req, username, password, done) { 
    // check in mongo if a user with username exists or not
    User.findOne({ 'username' :  username }, 
      function(err, user) {
        // In case of any error, return using the done method
        if (err)
          return done(err);
        // Username does not exist, log error & redirect back
        if (!user){
          console.log('User Not Found with username '+username);
          return done(null, false, 
                req.flash('message', 'User Not found.'));                 
        }
        // User exists but wrong password, log the error 
        if (!isValidPassword(user, password)){
          console.log('Invalid Password');
          return done(null, false, 
              req.flash('message', 'Invalid Password'));
        }
        // User and password both match, return user from 
        // done method which will be treated like success
        return done(null, user);
      }
    );
}));

Der erste Parameter von passport.use() ist der Name der Strategie, die verwendet wird, um diese Strategie zu identifizieren, wenn sie später angewendet wird. Der zweite Parameter ist die Art der Strategie, die Sie erstellen möchten, hier verwenden wir das username-password oder die LocalStrategy. Es ist zu beachten, dass LocalStrategy standardmäßig erwartet, die Benutzeranmeldeinformationen in den Parametern username und password zu finden, aber es erlaubt uns auch, alle anderen benannten Parameter zu verwenden. Die Konfigurationsvariable passReqToCallback ermöglicht es uns, auf das request-Objekt im Callback zuzugreifen, wodurch wir jeden Parameter verwenden können, der mit der Anfrage verbunden ist.

Als Nächstes verwenden wir die Mongoose-API, um den Benutzer in unserer zugrunde liegenden Sammlung von Benutzern zu finden, um zu überprüfen, ob der Benutzer ein gültiger Benutzer ist oder nicht. Der letzte Parameter in unserem Callback : done bezeichnet eine nützliche Methode, mit der wir dem Passport-Modul Erfolg oder Misserfolg signalisieren können. Um einen Fehler anzugeben, sollte entweder der erste Parameter den Fehler enthalten oder der zweite Parameter sollte als false ausgewertet werden. Um den Erfolg zu signalisieren, sollte der erste Parameter null sein und der zweite Parameter sollte einen truthy wert ergeben. In diesem Fall wird er für das request-Objekt verfügbar gemacht

Da Kennwörter von Natur aus schwach sind, sollten wir sie immer verschlüsseln, bevor wir sie in der Datenbank speichern. Dazu verwenden wir bcrypt-nodejs, um uns bei der Verschlüsselung und Entschlüsselung von Passwörtern zu helfen.

1	var isValidPassword = function(user, password){
2	return bCrypt.compareSync(password, user.password);
3	}

Wenn Sie sich bei den Code-Snippets nicht wohl fühlen und lieber den vollständigen Code in Aktion sehen möchten, können Sie den Code hier durchsuchen.

Registrierungsstrategie

Jetzt definieren wir die nächste Strategie, die die Registrierung eines neuen Benutzers handhabt und seinen oder ihren Eintrag in unserer zugrunde liegenden Mongo-DB erstellt:

passport.use('signup', new LocalStrategy({
    passReqToCallback : true 
  },
  function(req, username, password, done) {
    findOrCreateUser = function(){
      // find a user in Mongo with provided username
      User.findOne({'username':username},function(err, user) {
        // In case of any error return
        if (err){
          console.log('Error in SignUp: '+err);
          return done(err);
        }
        // already exists
        if (user) {
          console.log('User already exists');
          return done(null, false, 
             req.flash('message','User Already Exists'));
        } else {
          // if there is no user with that email
          // create the user
          var newUser = new User();
          // set the user's local credentials
          newUser.username = username;
          newUser.password = createHash(password);
          newUser.email = req.param('email');
          newUser.firstName = req.param('firstName');
          newUser.lastName = req.param('lastName');

          // save the user
          newUser.save(function(err) {
            if (err){
              console.log('Error in Saving user: '+err);  
              throw err;  
            }
            console.log('User Registration succesful');    
            return done(null, newUser);
          });
        }
      });
    };
    
    // Delay the execution of findOrCreateUser and execute 
    // the method in the next tick of the event loop
    process.nextTick(findOrCreateUser);
  });
);

Auch hier verwenden wir die Mongoose-API, um herauszufinden, ob ein Benutzer mit dem angegebenen Benutzernamen bereits existiert oder nicht. Wenn nicht, erstellen Sie einen neuen Benutzer und speichern Sie die Benutzerinformationen in Mongo. Andernfalls geben Sie den Fehler mit den done-Callback- und Flash-Nachrichten zurück. Beachten Sie, dass wir bcrypt-nodejs verwenden, um den Hash des Passworts zu erstellen, bevor wir es speichern:

1	// Generates hash using bCrypt
2	var createHash = function(password){
3	return bCrypt.hashSync(password, bCrypt.genSaltSync(10), null);
4	}

Routen erstellen

Wenn wir unsere Anwendung aus der Vogelperspektive betrachten würden, würde sie so aussehen:

Wir definieren nun unsere Routen für die Anwendung im folgenden Modul, das die oben in app.js erstellte Instanz von Passport verwendet. Speichern Sie dieses Modul in routes/index.js

module.exports = function(passport){

  /* GET login page. */
  router.get('/', function(req, res) {
    // Display the Login page with any flash message, if any
    res.render('index', { message: req.flash('message') });
  });

  /* Handle Login POST */
  router.post('/login', passport.authenticate('login', {
	successRedirect: '/home',
	failureRedirect: '/',
	failureFlash : true  
  }));

  /* GET Registration Page */
  router.get('/signup', function(req, res){
	res.render('register',{message: req.flash('message')});
  });

  /* Handle Registration POST */
  router.post('/signup', passport.authenticate('signup', {
	successRedirect: '/home',
	failureRedirect: '/signup',
	failureFlash : true  
  }));

  return router;
}

Der wichtigste Teil des obigen Code-Schnipsels ist die Verwendung von passport.authenticate() um die Authentifizierung an login und signup zu delegieren, wenn ein HTTP-POST an die /login- bzw. /signup-Routen erfolgt. Beachten Sie, dass es nicht zwingend erforderlich ist, die Strategien auf dem Routenpfad zu benennen und er kann beliebig benannt werden.

Erstellen von Jadeansichten

Als nächstes erstellen wir die folgenden zwei Ansichten für unsere Anwendung:

layout.jade enthält die grundlegenden Layout- und Styling-Informationen
index.jade enthält die Login-Seite mit dem Login-Formular und der Möglichkeit, ein neues Konto zu erstellen

extends layout

block content
  div.container
	div.row
	  div.col-sm-6.col-md-4.col-md-offset-4
		h1.text-center.login-title Sign in to our Passport app
		  div.account-wall
			img(class='profile-img', src='https://lh5.googleusercontent.com/-b0-k99FZlyE/AAAAAAAAAAI/AAAAAAAAAAA/eu7opA4byxI/photo.jpg?sz=120')
			form(class='form-signin', action='/login', method='POST')
			  input(type='text', name='username' class='form-control', placeholder='Email',required, autofocus)
			  input(type='password', name='password' class='form-control', placeholder='Password', required)
			  button(class='btn btn-lg btn-primary btn-block', type='submit') Sign in
			  span.clearfix
		  a(href='/signup', class='text-center new-account') Create an account
		  #message
		  if message
			h1.text-center.error-message #{message}

Dank Bootstrap sieht unsere Login-Seite jetzt so aus

Wir benötigen zwei weitere Ansichten für die Registrierungsdetails und für die Startseite der Anwendung:

register.jade enthält das Anmeldeformular
home.jade sagt hallo und zeigt eingeloggte Benutzerdaten an

Wenn Sie mit Jade nicht vertraut sind, lesen Sie die Dokumentation.

Implementieren der Abmeldefunktion

Passport, eine Middleware, darf bestimmte Eigenschaften und Methoden zu Anforderungs- und Antwortobjekten hinzufügen und verwendet sie richtig, indem es eine sehr praktische hinzufügt request.logout() -Methode, die die Benutzersitzung neben anderen Eigenschaften ungültig macht.

/* Handle Logout */
router.get('/signout', function(req, res) {
  req.logout();
  res.redirect('/');
});

Routen schützen

Passport bietet auch die Möglichkeit, den Zugang zu einer Route zu schützen, die für einen anonymen Benutzer als ungeeignet erachtet wird. Das bedeutet, dass, wenn ein Benutzer versucht, auf http://localhost:3000/home zuzugreifen, ohne sich in der Anwendung zu authentifizieren, er auf die Startseite umgeleitet wird, indem er Folgendes tut

/* GET Home Page */
router.get('/home', isAuthenticated, function(req, res){
  res.render('home', { user: req.user });
});

// As with any middleware it is quintessential to call next()
// if the user is authenticated
var isAuthenticated = function (req, res, next) {
  if (req.isAuthenticated())
	return next();
  res.redirect('/');
}

Abschluss

Passport ist nicht der einzige Spieler in diesem Bereich, wenn es um die Authentifizierung von Node.js-Anwendungen geht, und es gibt Alternativen wie EveryAuth, aber die Modularität, Flexibilität, Community-Unterstützung und die Tatsache, dass es sich nur um eine Middleware handelt, machen Passport definitiv zu einer viel besseren Wahl.

Für einen detaillierten Vergleich zwischen den beiden hier eine interessante und informative Perspektive des Entwicklers von Passport selbst.