Node.js 的用户身份验证库？

Question

Closed. This question is seeking recommendations for software libraries, tutorials, tools, books, or other off-site resources. It does not meet Stack Overflow guidelines. It is not currently accepting answers.

---

我们不允许提出寻求软件库、教程、工具、书籍或其他场外资源推荐的问题。您可以编辑问题，以便用事实和引文来回答。

4 个月前已关闭。

社区4个月前审查了是否重新开放此问题，并将其关闭：

原始关闭原因未解决

Answer 1

如果您正在寻找 Connect 或 Express 的身份验证框架，Passport 值得研究：https://github.com/jaredhanson/passport

（披露：我是 Passport 的开发者）

我在研究 connect-auth 和 everyauth 后开发了 Passport。虽然它们都是很棒的模块，但它们不适合我的需求。我想要一些更轻且不引人注目的东西。

Passport 被分解为单独的模块，因此您可以选择仅使用您需要的模块（OAuth，仅在必要时使用）。 Passport 也不会在您的应用程序中挂载任何路由，使您可以灵活地决定何时何地进行身份验证，并通过挂钩来控制身份验证成功或失败时发生的情况。

例如，以下是设置基于表单（用户名和密码）身份验证的两步过程：

passport.use(new LocalStrategy(
  function(username, password, done) {
    // Find the user from your DB (MongoDB, CouchDB, other...)
    User.findOne({ username: username, password: password }, function (err, user) {
      done(err, user);
    });
  }
));

app.post('/login', 
  passport.authenticate('local', { failureRedirect: '/login' }),
  function(req, res) {
    // Authentication successful. Redirect home.
    res.redirect('/');
  });

可使用其他策略通过 Facebook、Twitter 等进行身份验证。如有必要，可以插入自定义策略。

Answer 2

会话+ 如果

我猜你没有找到很多好的库的原因是使用库进行身份验证大多是过度设计的。

您正在寻找的只是一个会话绑定器:) 一个会话：

if login and user == xxx and pwd == xxx 
   then store an authenticated=true into the session 
if logout destroy session

就是这样。

---

我不同意你的结论，即 connect-auth 插件是正确的选择。

我也在使用 connect 但我不使用 connect-auth 有两个原因：

1. 恕我直言，它破坏了 connect-auth连接的强大且易于阅读的洋葱圈架构。不行——我的意见:)。
   您可以在此处找到一篇关于 connect 工作原理和洋葱圈想法的非常好的简短文章。

2. 如果您 - 正如所写的 - 只是想使用数据库或文件的基本或 http 登录。 Connect-auth 太大了。它更适合 OAuth 1.0、OAuth 2.0 和 OAuth 2.0 等内容。 Co

---

一个非常简单的连接身份验证

（它已经完成。只需执行它进行测试，但如果您想在生产中使用它，请确保使用 https）
（为了符合 REST 原则，您应该使用 POST 请求而不是 GET 请求，因为您更改了状态:)

var connect = require('connect');
var urlparser = require('url');

var authCheck = function (req, res, next) {
    url = req.urlp = urlparser.parse(req.url, true);

    // ####
    // Logout
    if ( url.pathname == "/logout" ) {
      req.session.destroy();
    }

    // ####
    // Is User already validated?
    if (req.session && req.session.auth == true) {
      next(); // stop here and pass to the next onion ring of connect
      return;
    }

    // ########
    // Auth - Replace this example with your Database, Auth-File or other things
    // If Database, you need a Async callback...
    if ( url.pathname == "/login" && 
         url.query.name == "max" && 
         url.query.pwd == "herewego"  ) {
      req.session.auth = true;
      next();
      return;
    }

    // ####
    // This user is not authorized. Stop talking to him.
    res.writeHead(403);
    res.end('Sorry you are not authorized.\n\nFor a login use: /login?name=max&pwd=herewego');
    return;
}

var helloWorldContent = function (req, res, next) {
    res.writeHead(200, { 'Content-Type': 'text/plain' });
    res.end('authorized. Walk around :) or use /logout to leave\n\nYou are currently at '+req.urlp.pathname);
}

var server = connect.createServer(
      connect.logger({ format: ':method :url' }),
      connect.cookieParser(),
      connect.session({ secret: 'foobar' }),
      connect.bodyParser(),
      authCheck,
      helloWorldContent
);

server.listen(3000);

注意，

我一年多前写了此声明，目前没有活动的节点项目。因此 Express 中可能会有 API 更改。如果我需要更改任何内容，请添加评论。

Answer 3

看起来连接中间件的 connect-auth 插件正是我所需要的

”我使用express [http://expressjs.com]，所以connect插件非常适合，因为express是connect的子类（好的 - 原型）

Answer 4

我基本上在寻找同样的东西。具体来说，我想要以下内容：

1. 使用express.js，它包装了 Connect 的中间件功能
2. “基于表单”的身份验证
3. 对身份验证的路由进行精细控制
4. 用户/密码的数据库后端
5. 使用会话

我最终做的是创建自己的我将其作为参数传递给我想要进行身份验证的每个路由的中间件函数 check_auth。 check_auth 仅检查会话，如果用户未登录，则将其重定向到登录页面，如下所示：

function check_auth(req, res, next) {

  //  if the user isn't logged in, redirect them to a login page
  if(!req.session.login) {
    res.redirect("/login");
    return; // the buck stops here... we do not call next(), because
            // we don't want to proceed; instead we want to show a login page
  }

  //  the user is logged in, so call next()
  next();
}

然后，对于每个路由，我确保此函数作为中间件传递。例如：

app.get('/tasks', check_auth, function(req, res) {
    // snip
});

最后，我们需要实际处理登录过程。这很简单：

app.get('/login', function(req, res) {
  res.render("login", {layout:false});
});

app.post('/login', function(req, res) {

  // here, I'm using mongoose.js to search for the user in mongodb
  var user_query = UserModel.findOne({email:req.body.email}, function(err, user){
    if(err) {
      res.render("login", {layout:false, locals:{ error:err } });
      return;
    }

    if(!user || user.password != req.body.password) {
      res.render("login",
        {layout:false,
          locals:{ error:"Invalid login!", email:req.body.email }
        }
      );
    } else {
      // successful login; store the session info
      req.session.login = req.body.email;
      res.redirect("/");
    }
  });
});

无论如何，这种方法的设计主要是为了灵活和简单。我确信有很多方法可以改进它。如果您有任何反馈，我非常希望得到您的反馈。

编辑：这是一个简化的示例。在生产系统中，您永远不想存储和存储数据。比较纯文本形式的密码。正如评论者指出的那样，有一些库可以帮助管理密码安全。

Answer 5

如果您想要第三方/社交网络登录集成，还可以查看 everyauth。

Answer 6

这是我的一个项目中用于基本身份验证的一些代码。我将它用于带有附加身份验证数据缓存的 CouchDB，但我删除了该代码。

围绕请求处理封装身份验证方法，并为不成功的身份验证提供第二个回调。成功回调将获取用户名作为附加参数。不要忘记在失败回调中正确处理凭证错误或缺失的请求：

/**
 * Authenticate a request against this authentication instance.
 * 
 * @param request
 * @param failureCallback
 * @param successCallback
 * @return
 */
Auth.prototype.authenticate = function(request, failureCallback, successCallback)
{
    var requestUsername = "";
    var requestPassword = "";
    if (!request.headers['authorization'])
    {
        failureCallback();
    }
    else
    {
        var auth = this._decodeBase64(request.headers['authorization']);
        if (auth)
        {
            requestUsername = auth.username;
            requestPassword = auth.password;
        }
        else
        {
            failureCallback();
        }
    }


    //TODO: Query your database (don't forget to do so async)


    db.query( function(result)
    {
        if (result.username == requestUsername && result.password == requestPassword)
        {
            successCallback(requestUsername);
        }
        else
        {
            failureCallback();
        }
    });

};


/**
 * Internal method for extracting username and password out of a Basic
 * Authentication header field.
 * 
 * @param headerValue
 * @return
 */
Auth.prototype._decodeBase64 = function(headerValue)
{
    var value;
    if (value = headerValue.match("^Basic\\s([A-Za-z0-9+/=]+)$"))
    {
        var auth = (new Buffer(value[1] || "", "base64")).toString("ascii");
        return {
            username : auth.slice(0, auth.indexOf(':')),
            password : auth.slice(auth.indexOf(':') + 1, auth.length)
        };
    }
    else
    {
        return null;
    }

};

Answer 7

几年过去了，我想介绍一下我的 Express 身份验证解决方案。它被称为Lockit。您可以在 GitHub 上找到该项目，并在 我的博客。

那么与现有解决方案有什么区别？

• 易于使用：设置数据库、npm install、require('lockit')、lockit(app)，
• 已内置完成的路由（/signup、/login、/forgot-password 等）
• 已内置视图（基于 Bootstrap，但您可以轻松使用自己的视图）
• 它支持 JSON 通信AngularJS / Ember.js 单页应用程序
• 不支持 OAuth 和 OpenID。只有用户名和密码。
• 它可以与多个数据库（CouchDB、MongoDB、SQL）一起使用，开箱即用，
• 它有测试（我找不到任何针对 Drywall 的测试），
• 它是积极维护的（与 everyauth 相比），
• 电子邮件验证和忘记密码过程（使用令牌发送电子邮件） ，不受 Passport 支持）
• 模块化：仅使用您需要的
• 灵活性：自定义所有内容

请查看 示例。

Answer 8

身份验证的另一种方式是无密码，这是一种基于令牌的身份验证模块，用于规避密码的固有问题[1]。它的实施速度很快，不需要太多的表单，并且为普通用户提供了更好的安全性（完全公开：我是作者）。

[1]：密码已过时

Answer 9

关于手卷方法的警告：

我很失望地看到本文中建议的一些代码示例无法防范此类基本身份验证漏洞，例如会话固定或定时攻击。

与此处的几个建议相反，身份验证并不简单，并且手动解决方案并不总是微不足道的。我会推荐 passportjs 和 bcrypt。

但是，如果您确实决定手动解决方案，请查看提供的 express js示例以获取灵感。

祝你好运。

Answer 10

有一个名为 Drywall 的项目，它使用 Passport 并且还有一个用户管理管理面板。如果您正在寻找一个功能齐全的用户身份验证和管理系统，类似于 Django 所具有的但适用于 Node.js 的系统，那么这就是它。我发现它是构建需要用户身份验证和管理系统的节点应用程序的一个非常好的起点。有关 Passport 工作原理的信息，请参阅 Jared Hanson 的回答。

Answer 11

以下是用于 Node js 身份验证的两个流行的 Github 库：

https://github.com/jaredhanson/passport (建议）

https://nodejsmodules.org/pkg/everyauth

Answer 12

Angular 客户端提供用户身份验证的 API，

使用 mongo 的快速简单示例，对于为app.js 中的

var express = require('express');
var MongoStore = require('connect-mongo')(express);

// ...

app.use(express.cookieParser());
// obviously change db settings to suit
app.use(express.session({
    secret: 'blah1234',
    store: new MongoStore({
        db: 'dbname',
        host: 'localhost',
        port: 27017
    })
}));

app.use(app.router);

您的路线如下所示：

// (mongo connection stuff)

exports.login = function(req, res) {

    var email = req.body.email;
    // use bcrypt in production for password hashing
    var password = req.body.password;

    db.collection('users', function(err, collection) {
        collection.findOne({'email': email, 'password': password}, function(err, user) {
            if (err) {
                res.send(500);
            } else {
                if(user !== null) {
                    req.session.user = user;
                    res.send(200);
                } else {
                    res.send(401);
                }
            }
        });
    });
};

然后在需要身份验证的路线中，您只需检查用户会话即可：

if (!req.session.user) {
    res.send(403);
}

Answer 13

这是一个使用时间戳令牌的新身份验证库。令牌可以通过电子邮件或短信发送给用户，无需将其存储在数据库中。它可用于无密码身份验证或双因素身份验证。

https://github.com/vote539/easy-no-password

披露：我是该库的开发者。

Answer 14

如果您需要使用 Microsoft Windows 用户帐户进行 SSO（单点登录）身份验证。您可以尝试 https://github.com/jlguenego/node-expose-sspi< /a>.

它将为您提供一个 req.sso 对象，其中包含所有客户端用户信息（登录名、显示名称、sid、组）。

const express = require("express");
const { sso, sspi } = require("node-expose-sspi");

sso.config.debug = false;

const app = express();

app.use(sso.auth());

app.use((req, res, next) => {
  res.json({
    sso: req.sso
  });
});

app.listen(3000, () => console.log("Server started on port 3000"));

免责声明：我是 node-expose-sspi 的作者。

Answer 15

slim-auth

一个轻量级、零配置的用户身份验证模块。它不需要单独的数据库。

https://www.npmjs.com/package/slimauth

很简单：

app.get('/private-page', (req, res) => {

    if (req.user.isAuthorized) {
        // user is logged in! send the requested page
        // you can access req.user.email
    }
    else {
        // user not logged in. redirect to login page
    }
})