ios - 使用 Angular.js 和 iOS 客户端对 Node.js 应用程序进行身份验证

Question

我已尝试阅读尽可能多的不同答案和帖子，但我仍然不能完全确定适合我需要的解决方案。我正在尝试找出处理用户身份验证、登录等的最佳(最有效，但大多更安全)的方法。
我有一个 Node.js 服务器，在 Express 上运行；我有一个 Angular.js 网络应用程序；我有一个 iOS 应用程序。我使用 Express/Node.js 公开了一个 RESTful API。
cookies
我读到的第一件事是使用 cookie，并在服务器端(散列)和客户端(未散列)存储 session ID/登录 token 。客户端将在每个请求中传输此 ID，服务器将对其进行哈希处理、解析并相应地处理请求。这感觉不是 RESTful(不是一个大问题)，但更重要的是，我是否必须复制我的 API:一个用于用户名/密码身份验证(例如通过 curl 完成)，另一个用于基于 cookie 的身份验证(例如我的网络应用程序)？
另一个问题:如果我有来自一个用户的多个连接，我会怎么做，例如他们在两个浏览器中登录，一个 iPhone 和一个 iPad。我存储的他们的 session ID 现在需要成为一个数组吗？
HTTP 基本身份验证
下一个想法是使用 HTTP Basic Auth(使用 SSL)，这看起来很简单，但不推荐使用，因为您需要在每个请求中传输用户名和密码。如果我要使用 HTTP 基本身份验证，我是否会将用户名和密码存储在 cookie(或 HTML 本地存储)中以允许“记住我”功能？或者我可以将两者结合起来:对实际请求使用 HTTP Basic Auth(发布新帖子等)，并且只使用存储在 cookie 中的 session id 来按顺序进行初始登录/记住我的方面？
传输 session ID 是否比仅传输用户密码更安全？如何？
session ID 表面上将充当密码，因此对我而言，传输它与传输密码具有相同的安全问题。
所有平台似乎都支持基本身份验证，这是理想的。主要的缺点似乎是需要在每个请求中传输客户端身份验证数据。有没有办法缓解这个问题？
身份验证
OAuth 对于我的需求来说似乎有点过分了。我想我会失去执行 curl 命令来测试我的 API 的能力。 OAuth 如何改进 cookie 方法？
正如您可能会说的那样，我对可用的各种信息感到有些困惑，因此，如果您有一组好的链接(适用于这种情况)，我很乐意阅读它们。我正在尝试找到适合所有平台的解决方案，但仍然尽可能安全。另外，如果我的任何术语有误，请纠正我，因为这将使我更容易搜索。
谢谢。
更新:
我一直在思考这个问题，我有了一个想法。请告诉我这是否是愚蠢/不安全/任何反馈，因为我不确定它是否好。
当用户登录时，我们会生成一个随机 session id(salted 等)。这个可选的 session id 被发送到客户端，如果他们选择，客户端可以存储(例如在 cookie 中)； session ID 存储在数据库中。
然后这个 session id 可以选择作为 HTTP 身份验证 header 或查询字符串随每个请求发送 ，或者客户端可以根据需要发送用户名和密码(这为我们提供了常规的 REST API)。在服务器端，我们首先检查 session id 参数，如果不存在，我们检查用户名/密码。如果两者都不存在——错误。
在服务器上，我们检查 session ID 是否与正确的用户名相关联。如果是，我们完成请求。
每次用户登录时，我们都会创建一个新的 session ID 或删除当前的 session ID，并将其与登录请求的响应一起发送。
我认为这让我可以在适当的情况下使用常规 REST API 和基本身份验证，并维护 session /记住我的功能。它不能解决多次登录问题，但否则我认为这种方式应该可以。请告诉我。

Answer 1

我会使用基于 token 的身份验证，您可以在每个请求中(自动)发送一个 token 。您必须登录一次，服务器将为您提供一个 token ，然后您可以使用该 token 与每个请求一起发送。该标记将被添加到 HTML header 中，这样您就不必修改对浏览器的每个请求。

您可以在 API 中设置某些调用，以便它们始终需要 token ，而其他调用可能不受 token 保护。

对于 Express，您可以使用 express-jwt ( https://www.npmjs.org/package/express-jwt )

var expressJwt = require('express-jwt');

// Protect the /api routes with JWT
app.use('/api', expressJwt({secret: secret}));

app.use(express.json());
app.use(express.urlencoded());

如果要进行身份验证，可以在快速服务器中创建此功能:

app.post('/authenticate', function (req, res) {
  //if is invalid, return 401
  if (!(req.body.username === 'john.doe' && req.body.password === 'foobar')) {
    res.send(401, 'Wrong user or password');
    return;
  }

  var profile = {
    first_name: 'John',
    last_name: 'Doe',
    email: 'john@doe.com',
    id: 123
  };

  // We are sending the profile inside the token
  var token = jwt.sign(profile, secret, { expiresInMinutes: 60*5 });

  res.json({ token: token });
});

对于以/api 开头的 protected 调用:

app.get('/api/restricted', function (req, res) {
  console.log('user ' + req.user.email + ' is calling /api/restricted');
  res.json({
    name: 'foo'
  });
});

在您的 Angular 应用程序中，您可以使用以下方式登录:

$http
      .post('/authenticate', $scope.user)
      .success(function (data, status, headers, config) {
        $window.sessionStorage.token = data.token;
        $scope.message = 'Welcome';
      })
      .error(function (data, status, headers, config) {
        // Erase the token if the user fails to log in
        delete $window.sessionStorage.token;

        // Handle login errors here
        $scope.message = 'Error: Invalid user or password';
      });

通过创建一个身份验证拦截器，它会在每个请求中自动发送 token :

myApp.factory('authInterceptor', function ($rootScope, $q, $window) {
  return {
    request: function (config) {
      config.headers = config.headers || {};
      if ($window.sessionStorage.token) {
        config.headers.Authorization = 'Bearer ' + $window.sessionStorage.token;
      }
      return config;
    },
    response: function (response) {
      if (response.status === 401) {
        // handle the case where the user is not authenticated
      }
      return response || $q.when(response);
    }
  };
});

myApp.config(function ($httpProvider) {
  $httpProvider.interceptors.push('authInterceptor');
});

如果您必须支持不支持本地存储的旧浏览器。您可以交换 $window.sessionStorage使用 AmplifyJS (http://amplifyjs.com/) 之类的库。例如，Amplify 使用任何可用的本地存储。这将翻译成这样:

    if (data.status === 'OK') {
      //Save the data using Amplify.js
      localStorage.save('sessionToken', data.token);
      //This doesn't work on the file protocol or on some older browsers
      //$window.sessionStorage.token = data.token;
      $location.path('/pep');
    }
  }).error(function (error) {
    // Erase the token if the user fails to log in
    localStorage.save('sessionToken', null);
    // Handle login errors here
    $scope.message = 'Error: Invalid user or password';
  });

我们交换的身份验证拦截器:

angular.module('myApp.authInterceptor', ['myApp.localStorage']).factory('authInterceptor', [
  '$rootScope',
  '$q',
  'localStorage',
  function ($rootScope, $q, localStorage) {
    return {
      request: function (config) {
        config.headers = config.headers || {};
        config.headers.Authorization = 'Bearer ' + localStorage.retrieve('sessionToken');
        return config;
      },
      response: function (response) {
        if (response.status === 401) {
        }
        return response || $q.when(response);
      }
    };
  }
]);

您可以在本文中找到除 AmplifyJS 之外的所有内容:

http://blog.auth0.com/2014/01/07/angularjs-authentication-with-cookies-vs-token/