Базовая HTTP-аутентификация с помощью Node и Express 4

108

Похоже, реализация базовой HTTP-аутентификации в Express v3 была тривиальной:

app.use(express.basicAuth('username', 'password'));

Версия 4 (я использую 4.2) удалила basicAuthпромежуточное ПО, так что я немного застрял. У меня есть следующий код, но он не заставляет браузер запрашивать у пользователя учетные данные, что я бы хотел (и то, что, как мне кажется, делал старый метод):

app.use(function(req, res, next) {
    var user = auth(req);

    if (user === undefined || user['name'] !== 'username' || user['pass'] !== 'password') {
        res.writeHead(401, 'Access invalid for user', {'Content-Type' : 'text/plain'});
        res.end('Invalid credentials');
    } else {
        next();
    }
});
Дов
источник
2
Бесстыдный плагин: у меня есть довольно популярный модуль, который упрощает это и имеет большинство стандартных функций, которые вам могут понадобиться: express-basic-auth
LionC
Недавно я раздвоил пакет @LionC, потому что мне пришлось адаптировать его (включив контекстно-зависимые авторизаторы) в сверхкороткий промежуток времени для проекта компании: npmjs.com/package/spresso-authy
castarco

Ответы:

108

Простая базовая аутентификация с ванильным JavaScript (ES6)

app.use((req, res, next) => {

  // -----------------------------------------------------------------------
  // authentication middleware

  const auth = {login: 'yourlogin', password: 'yourpassword'} // change this

  // parse login and password from headers
  const b64auth = (req.headers.authorization || '').split(' ')[1] || ''
  const [login, password] = Buffer.from(b64auth, 'base64').toString().split(':')

  // Verify login and password are set and correct
  if (login && password && login === auth.login && password === auth.password) {
    // Access granted...
    return next()
  }

  // Access denied...
  res.set('WWW-Authenticate', 'Basic realm="401"') // change this
  res.status(401).send('Authentication required.') // custom message

  // -----------------------------------------------------------------------

})

примечание: это «промежуточное ПО» можно использовать в любом обработчике. Просто удалите next()и переверните логику. См. Пример с одним утверждением ниже или историю редактирования этого ответа.

Зачем?

  • req.headers.authorizationсодержит значение " Basic <base64 string>", но оно также может быть пустым, и мы не хотим, чтобы он завершился ошибкой, отсюда и странное сочетание|| ''
  • Узел не знает atob()и btoa(), следовательно,Buffer

ES6 -> ES5

constпросто var.. вид
(x, y) => {...}только function(x, y) {...}
const [login, password] = ...split()всего два varзадания в одном

источник вдохновения (использует пакеты)


Вышеупомянутый супер простой пример, который должен был быть очень коротким и быстро развертываемым на вашем игровом сервере. Но, как было указано в комментариях, пароли также могут содержать символы двоеточия :. Чтобы правильно извлечь его из b64auth , вы можете использовать это.

  // parse login and password from headers
  const b64auth = (req.headers.authorization || '').split(' ')[1] || ''
  const strauth = Buffer.from(b64auth, 'base64').toString()
  const splitIndex = strauth.indexOf(':')
  const login = strauth.substring(0, splitIndex)
  const password = strauth.substring(splitIndex + 1)

  // using shorter regex by @adabru
  // const [_, login, password] = strauth.match(/(.*?):(.*)/) || []

Базовая авторизация в одном заявлении

... с другой стороны, если вы когда-либо используете только один или очень мало логинов, это необходимый минимум: (вам даже не нужно вообще анализировать учетные данные)

function (req, res) {
//btoa('yourlogin:yourpassword') -> "eW91cmxvZ2luOnlvdXJwYXNzd29yZA=="
//btoa('otherlogin:otherpassword') -> "b3RoZXJsb2dpbjpvdGhlcnBhc3N3b3Jk"

  // Verify credentials
  if (  req.headers.authorization !== 'Basic eW91cmxvZ2luOnlvdXJwYXNzd29yZA=='
     && req.headers.authorization !== 'Basic b3RoZXJsb2dpbjpvdGhlcnBhc3N3b3Jk')        
    return res.status(401).send('Authentication required.') // Access denied.   

  // Access granted...
  res.send('hello world')
  // or call next() if you use it as middleware (as snippet #1)
}

PS: нужен ли вам как «безопасный», так и «публичный» пути? Рассмотрите возможность использования express.routerвместо этого.

var securedRoutes = require('express').Router()

securedRoutes.use(/* auth-middleware from above */)
securedRoutes.get('path1', /* ... */) 

app.use('/secure', securedRoutes)
app.get('public', /* ... */)

// example.com/public       // no-auth
// example.com/secure/path1 // requires auth
Qwerty
источник
2
Лучшее из всех ... :)
Анупам Басак
2
Не используйте, .split(':')потому что он подавится паролями, содержащими хотя бы одно двоеточие. Такие пароли действительны в соответствии с RFC 2617 .
Distortum
1
Вы также можете использовать RegExp const [_, login, password] = strauth.match(/(.*?):(.*)/) || []для двоеточия.
adabru
3
Использование !==для сравнения паролей делает вас уязвимыми для временных атак. en.wikipedia.org/wiki/Timing_attack убедитесь, что вы используете сравнение строк с постоянным временем.
hraban 01
1
Использование Buffer.from() // for stringsили Buffer.alloc() // for numbersas Buffer()не рекомендуется из-за проблем с безопасностью.
Мистер Чужой,
72

TL; DR:

express.basicAuthушло
basic-auth-connectустарело
basic-authне имеет никакой логики
http-authэто перебор
express-basic-authэто то, что вы хотите

Больше информации:

Поскольку вы используете Express, вы можете использовать express-basic-authпромежуточное программное обеспечение.

См. Документы:

Пример:

const app = require('express')();
const basicAuth = require('express-basic-auth');
 
app.use(basicAuth({
    users: { admin: 'supersecret123' },
    challenge: true // <--- needed to actually show the login dialog!
}));
rsp
источник
17
Мне challenge: true
потребовалось
1
@VitaliiZurian Хороший замечание - добавил в ответ. Спасибо, что указали на это.
rsp
4
@rsp Вы знаете, как применить это только к определенным маршрутам?
Jorge L Hernandez
Если вы не хотите добавлять другие зависимости, очень легко написать базовую аутентификацию вручную в одной строке ...
Qwerty
как будет выглядеть URL-адрес клиента?
GGEv 07
57

Многие промежуточные программы были извлечены из ядра Express в v4 и помещены в отдельные модули. Базовый модуль аутентификации находится здесь: https://github.com/expressjs/basic-auth-connect

Ваш пример просто нужно изменить на это:

var basicAuth = require('basic-auth-connect');
app.use(basicAuth('username', 'password'));
Брайан Продоэл
источник
19
Этот модуль считается устаревшим (хотя альтернатива, которую он предлагает, кажется неудовлетворительной)
Arnout Engelen
3
^^ Абсолютно неудовлетворительно как в плотно недокументированном. нулевой пример использования в качестве промежуточного программного обеспечения, для чего он, вероятно, хорош, но вызов недоступен. приведенный ими пример отлично подходит для обобщения, но не для информации об использовании.
Wylie Kulik
Да, этот устарел, и хотя рекомендованного мало для документации, код очень простой github.com/jshttp/basic-auth/blob/master/index.js
Loourr
1
В этом ответе я описал, как использовать basic-authбиблиотеку
Loourr
Как существует целый модуль, основанный на размещении пароля в коде открытым текстом ? По крайней мере, затемнение его путем сравнения в base64 кажется немного лучше.
user1944491 02
33

Я использовал код оригинала, basicAuthчтобы найти ответ:

app.use(function(req, res, next) {
    var user = auth(req);

    if (user === undefined || user['name'] !== 'username' || user['pass'] !== 'password') {
        res.statusCode = 401;
        res.setHeader('WWW-Authenticate', 'Basic realm="MyRealmName"');
        res.end('Unauthorized');
    } else {
        next();
    }
});
Дов
источник
10
этот модуль считается устаревшим, используйте вместо него jshttp / basic-auth (тот же API, поэтому ответ все еще применяется)
Майкл
32

Я изменил в экспресс 4.0 базовую аутентификацию с помощью http-auth , код:

var auth = require('http-auth');

var basic = auth.basic({
        realm: "Web."
    }, function (username, password, callback) { // Custom authentication method.
        callback(username === "userName" && password === "password");
    }
);

app.get('/the_url', auth.connect(basic), routes.theRoute);
ВойныКлон
источник
1
Это буквально подключи и работай. Отлично.
Сидональдсон
20

Кажется, для этого есть несколько модулей, некоторые из них устарели.

Этот выглядит активным:
https://github.com/jshttp/basic-auth

Вот пример использования:

// auth.js

var auth = require('basic-auth');

var admins = {
  'art@vandelay-ind.org': { password: 'pa$$w0rd!' },
};


module.exports = function(req, res, next) {

  var user = auth(req);
  if (!user || !admins[user.name] || admins[user.name].password !== user.pass) {
    res.set('WWW-Authenticate', 'Basic realm="example"');
    return res.status(401).send();
  }
  return next();
};




// app.js

var auth = require('./auth');
var express = require('express');

var app = express();

// ... some not authenticated middlewares

app.use(auth);

// ... some authenticated middlewares

Убедитесь, что вы поместили authпромежуточное ПО в правильное место, любое промежуточное ПО до этого не будет аутентифицировано.

Майкл
источник
На самом деле я сторонник «basic-auth-connect», имя плохое, но с точки зрения функциональности оно лучше, чем «basic-auth». Все, что делает последнее, - это разбирает заголовок авторизации. Вам все еще нужно самостоятельно implementиспользовать протокол (он же отправить правильный заголовок)
FDIM
Отлично! Спасибо тебе за это. Это сработало и все хорошо объяснило.
Tania Rascia
Я пробовал это, но меня постоянно просят войти в систему через непрерывный цикл.
jdog
6

Мы можем реализовать базовую авторизацию без какого-либо модуля

//1.
var http = require('http');

//2.
var credentials = {
    userName: "vikas kohli",
    password: "vikas123"
};
var realm = 'Basic Authentication';

//3.
function authenticationStatus(resp) {
    resp.writeHead(401, { 'WWW-Authenticate': 'Basic realm="' + realm + '"' });
    resp.end('Authorization is needed');

};

//4.
var server = http.createServer(function (request, response) {
    var authentication, loginInfo;

    //5.
    if (!request.headers.authorization) {
        authenticationStatus (response);
        return;
    }

    //6.
    authentication = request.headers.authorization.replace(/^Basic/, '');

    //7.
    authentication = (new Buffer(authentication, 'base64')).toString('utf8');

    //8.
    loginInfo = authentication.split(':');

    //9.
    if (loginInfo[0] === credentials.userName && loginInfo[1] === credentials.password) {
        response.end('Great You are Authenticated...');
         // now you call url by commenting the above line and pass the next() function
    }else{

    authenticationStatus (response);

}

});
 server.listen(5050);

Источник: - http://www.dotnetcurry.com/nodejs/1231/basic-authentication-using-nodejs

ВИКАС КОХЛИ
источник
1

Express удалил эту функцию и теперь рекомендует использовать библиотеку basic-auth .

Вот пример того, как использовать:

var http = require('http')
var auth = require('basic-auth')

// Create server
var server = http.createServer(function (req, res) {
  var credentials = auth(req)

  if (!credentials || credentials.name !== 'aladdin' || credentials.pass !== 'opensesame') {
    res.statusCode = 401
    res.setHeader('WWW-Authenticate', 'Basic realm="example"')
    res.end('Access denied')
  } else {
    res.end('Access granted')
  }
})

// Listen
server.listen(3000)

Чтобы отправить запрос по этому маршруту, вам необходимо включить заголовок авторизации, отформатированный для базовой аутентификации.

Отправляя запрос curl сначала, вы должны принять кодировку base64name:pass или, в этом случае, aladdin:opensesameкоторая равнаYWxhZGRpbjpvcGVuc2VzYW1l

Тогда ваш запрос на завиток будет выглядеть так:

 curl -H "Authorization: Basic YWxhZGRpbjpvcGVuc2VzYW1l" http://localhost:3000/
Loourr
источник
0
function auth (req, res, next) {
  console.log(req.headers);
  var authHeader = req.headers.authorization;
  if (!authHeader) {
      var err = new Error('You are not authenticated!');
      res.setHeader('WWW-Authenticate', 'Basic');
      err.status = 401;
      next(err);
      return;
  }
  var auth = new Buffer.from(authHeader.split(' ')[1], 'base64').toString().split(':');
  var user = auth[0];
  var pass = auth[1];
  if (user == 'admin' && pass == 'password') {
      next(); // authorized
  } else {
      var err = new Error('You are not authenticated!');
      res.setHeader('WWW-Authenticate', 'Basic');      
      err.status = 401;
      next(err);
  }
}
app.use(auth);
subair адамс охикере
источник
Надеюсь, это решит проблему, но, пожалуйста, добавьте к нему объяснение своего кода, чтобы пользователь получил полное представление о том, чего он действительно хочет.
Джаймил Патель,