Estoy intentando implementar un sistema de seguridad basado en tokens. El problema es que no sé dónde debo poner el encabezado de autorización después de crearlo para verificarlo en todas mis diferentes rutas. Mi código es el siguiente. Quiero hacerlo SIN USAR POSTMAN o cualquier programa por el estilo.
Esta es la ruta para el inicio de sesión del usuario, donde creo el token
router.post('/login',(req,res)=>{ const user = req.body.user; const token = jwt.sign({user},'secret_key');// generamos un identificador para el usuario que acaba de registrarse res.json({ token }); });Entonces, tengo esta ruta para probar que funciona.
router.get('/protected',ensureToken,(req,res)=>{ jwt.verify(req.token,'secret_key',(err,data)=>{ if(err){ res.sendStatus(403); }else{ res.json({ text:'protected' }); } }); });Y finalmente, este es el middleware.
function ensureToken(req,res,next){ const bearerHeader = req.headers['authorization']; console.log(bearerHeader); if(typeof bearerHeader != 'undefined'){ const bearer = bearerHeader.split(" "); const bearerToken= bearer[1]; req.token = bearerToken; //almacenamos el token en el objeto de la peticion next(); }else{ res.sendStatus(403);//status de no permitido } }¿Dónde debo configurar el encabezado de autorización para todas mis rutas, escriba 'obtener' como la ruta protegida?
router.get('/verify', async (req, res, next) => { try { const token = req.headers['x-access-token']//client should this value if (!token){ return res.status(401).send({ success: false, message: 'Unauthorized request', }) } else if (isExpiredToken(token)){ return res.status(300).send({ success: false, message: 'Token is expired', }) } const decoded = jwt.verify(token, SECRET_KEY) const expiredAt = moment.unix(decoded.exp).subtract(@YOUR_EXPIRED_TIME, 'minutes') const now = moment() let newToken = null if (now.isAfter(expiredAt)) {//refresh the token const userFromDB = await User.findOne({ where: { id: decoded.id, }, }) const content = util.sanitize(userFromDB) newToken = await jwt.sign(content, SECRET_KEY, { audience: content.email, issuer: 'YOUR_APP', expiresIn: 'YOUR_EXPIRED_TIME', }) console.log( `VERIFY\tToken refreshed automatically for user-${content.id}` ) } res.send({ success: true, nextToken: newToken, }) } catch (e) { console.log(e) res.status(500).send({ success: false, message: 'Internal server error', }) } }) async function authMiddleware(req, res, next){ /* In this case, user can authenticate with header['x-access-token'] or body['accessToken']*/ const token = req.header['x-access-token'] || req.body['accessToken'] || undefined if(!token) return res.status(401).send({ success: false, message: 'unauthorized' }) try{ const user = await jwt.verify(token, secret) req.user = { ...user } return next() } catch(e){ console.log(e) return res.status(500).send({ success : false, message : 'internal server error' }) } }