Hari Melaksanakan Pengesahan JWT dalam NestJS dengan Pasport (Bahagian 1)

Langkah pertama

pengesahan sumber sarang g

Ini akan meminta anda untuk memilih lagi
❯ REST API
GraphQL (kod dahulu)
GraphQL (skema dahulu)
Perkhidmatan mikro (bukan HTTP)
Soket Web

pilih REST API dan ini akan menjana keseluruhan modul untuk anda dengan pengawal dan modul perkhidmatan dtos

Daftar Pengguna

memandangkan kami melaksanakan pengesahan berasaskan e-mel/kata laluan sebagai langkah pertama kami akan mendaftarkan pengguna.

1. Sahkan dahulu untuk memastikan data adalah sah dan tambahkan pengesahan kekuatan kata laluan untuk mengurangkan serangan kekerasan.
2. Sanitize selepas itu untuk memastikan data selamat digunakan.
3. Semak sama ada rekod pengguna sudah wujud dalam pangkalan data jika wujud ia bermakna pengguna sudah mempunyai akaun jadi hantarkan respons bahawa e-mel ini telah didaftarkan.
4. jika semakan di atas gagal bermakna kita perlu mendaftarkan pengguna ambil kata laluan pengguna dan cincang dengan perpustakaan pencincangan yang baik seperti bcrypt atau argon2
5. selepas pencincangan masukkan rekod pengguna dalam DB.
6. hantar e-mel kepada pengguna untuk mengesahkan adalah e-mel sah.
7. tambah pengehad kadar pada laluan untuk mengelakkan serangan DDoS

1 Sahkan data masuk

Memandangkan nest js mempunyai integrasi yang kuat dengan pakej pengesahan yang disyorkan seperti pengesah kelas tetapi dari pengalaman saya sebelum ini, saya menggunakan zod untuk lot pengesahan di hujung hadapan react js dan jadi saya mendapati
yang hebat penyelesaian untuk ekosistem nest js yang dipanggil nests zod jadi saya lebih suka menggunakan yang ini buat masa ini. Untuk bermula, mula-mula pasang perpustakaan
npm i nestjs-zod

import { createZodDto } from 'nestjs-zod';
import { z } from 'zod';
const passwordStrengthRegex =
  /^(?=.*[a-z])(?=.*[A-Z])(?=.*\d)(?=.*[@$!%*?&])[A-Za-z\d@$!%*?&]{8,}$/;
const registerUserSchema = z
  .object({
    email: z.string().email(),
    password: z
      .string()
      .min(8)
      .regex(
        passwordStrengthRegex,
        'Password must contain at least one uppercase letter, one lowercase letter, one number, and one special character',
      ),
    confirmPassword: z.string().min(8),
  })
  .refine((data) => data.password === data.confirmPassword, {
    message: 'Passwords do not match',
  });

export class RegisterUserDto extends createZodDto(registerUserSchema) {}

dan kemudian gunakan paip pengesahan pada laluan

import { Controller, Post, Body, Version, UsePipes } from '@nestjs/common';
import { AuthService } from './auth.service';
import { RegisterUserDto } from './dto/register.dto';
import { ZodValidationPipe } from 'nestjs-zod';

@Controller('auth')
export class AuthController {
  constructor(private readonly authService: AuthService) {}

  @Version('1')
  @Post()
  @UsePipes(ZodValidationPipe)
  async registerUser(@Body() registerUserDto: RegisterUserDto) {
    return await this.authService.registerUser(registerUserDto);
  }
}

jika kami memberikan semua input yang betul

jadi kita sudah selesai dengan langkah pertama

Mari Bersihkan Data

kami mempunyai tiga input

• kata laluan: lazimnya kata laluan tidak boleh disanitasi kerana ia tidak akan dihantar dan dipaparkan ke bahagian hadapan walaupun seseorang menghantar skrip berniat jahat kepada kata laluan akhirnya ia akan dicincang tidak perlu
• sahkanKata Laluan: cerita yang sama seperti di atas
• e-mel: ya e-mel dihantar dan diberikan kepada pelanggan jadi medan e-mel mestilah Sanitize untuk mengurangkan serangan suntikan dan skrip

tetapi kami secara eksplisit menambahkan e-mel: z.string().email() yang cukup untuk kes penggunaan ini

tetapi untuk menambah lyre keselamatan tambahan kita boleh menambah lapisan sanitasi

import { createZodDto } from 'nestjs-zod';
import { z } from 'zod';
import * as xss from 'xss';

const passwordStrengthRegex =
  /^(?=.*[a-z])(?=.*[A-Z])(?=.*\d)(?=.*[@$!%*?&])[A-Za-z\d@$!%*?&]{8,}$/;

const registerUserSchema = z
  .object({
    email: z.string().transform((input) => xss.filterXSS(input)), // Sanitizing input using xss
    password: z
      .string()
      .min(8)
      .regex(
        passwordStrengthRegex,
        'Password must contain at least one uppercase letter, one lowercase letter, one number, and one special character',
      ),
    confirmPassword: z.string().min(8),
  })
  .refine((data) => data.password === data.confirmPassword, {
    message: 'Passwords do not match',
  });

export class RegisterUserDto extends createZodDto(registerUserSchema) {}

Ini adalah ujian yang kami turut tambah semula

e-mel: z
.string()
.email()

Langkah3,4,5

import { createZodDto } from 'nestjs-zod';
import { z } from 'zod';
const passwordStrengthRegex =
  /^(?=.*[a-z])(?=.*[A-Z])(?=.*\d)(?=.*[@$!%*?&])[A-Za-z\d@$!%*?&]{8,}$/;
const registerUserSchema = z
  .object({
    email: z.string().email(),
    password: z
      .string()
      .min(8)
      .regex(
        passwordStrengthRegex,
        'Password must contain at least one uppercase letter, one lowercase letter, one number, and one special character',
      ),
    confirmPassword: z.string().min(8),
  })
  .refine((data) => data.password === data.confirmPassword, {
    message: 'Passwords do not match',
  });

export class RegisterUserDto extends createZodDto(registerUserSchema) {}

Perkara utama yang perlu diperhatikan saya baru sahaja mengembalikan mesej kejayaan tanpa data berkaitan
kepada pengguna seperti ID atau e-mel kerana ia tidak perlu menghantar semula data kepada pengguna dalam langkah ini. selepas pendaftaran pengguna akan dialihkan ke halaman log masuk untuk mengisi butiran supaya mengelakkan penghantaran data yang tidak perlu adalah amalan keselamatan yang baik

Mengehadkan kadar

melaksanakan pengehadan kadar dalam nestjs adalah sangat mudah cuma pasang nestjs/throttler konfigurasikannya secara global dan anda sudah selesai .
untuk memasang pakej run npm i --save @nestjs/throttler

import { Controller, Post, Body, Version, UsePipes } from '@nestjs/common';
import { AuthService } from './auth.service';
import { RegisterUserDto } from './dto/register.dto';
import { ZodValidationPipe } from 'nestjs-zod';

@Controller('auth')
export class AuthController {
  constructor(private readonly authService: AuthService) {}

  @Version('1')
  @Post()
  @UsePipes(ZodValidationPipe)
  async registerUser(@Body() registerUserDto: RegisterUserDto) {
    return await this.authService.registerUser(registerUserDto);
  }
}

kemudian tambahkan pengawal pendikit nestjs sebagai pengawal global

import { createZodDto } from 'nestjs-zod';
import { z } from 'zod';
import * as xss from 'xss';

const passwordStrengthRegex =
  /^(?=.*[a-z])(?=.*[A-Z])(?=.*\d)(?=.*[@$!%*?&])[A-Za-z\d@$!%*?&]{8,}$/;

const registerUserSchema = z
  .object({
    email: z.string().transform((input) => xss.filterXSS(input)), // Sanitizing input using xss
    password: z
      .string()
      .min(8)
      .regex(
        passwordStrengthRegex,
        'Password must contain at least one uppercase letter, one lowercase letter, one number, and one special character',
      ),
    confirmPassword: z.string().min(8),
  })
  .refine((data) => data.password === data.confirmPassword, {
    message: 'Passwords do not match',
  });

export class RegisterUserDto extends createZodDto(registerUserSchema) {}

dan inilah dia

import {
  BadRequestException,
  Injectable,
  InternalServerErrorException,
} from '@nestjs/common';
import { RegisterUserDto } from './dto/register.dto';
import { PrismaService } from 'src/prismaModule/prisma.service';
import * as argon2 from 'argon2';

@Injectable()
export class AuthService {
  constructor(private readonly prismaService: PrismaService) {}
  async registerUser(registerUserDto: RegisterUserDto) {
    // data is validate and sanitized by the registerUserDto
    const { email, password } = registerUserDto;

    try {
      // check if user already exists
      const user = await this.prismaService.user.findFirst({
        where: {
          email,
        },
      });

      if (user) {
        throw new BadRequestException('user already eists ');
      }
      //if use not exists lets hash user password
      const hashedPassword = await argon2.hash(registerUserDto.password);

      // time to create user
      const userData = await this.prismaService.user.create({
        data: {
          email,
          password: hashedPassword,
        },
      });

      if (!userData) {
        throw new InternalServerErrorException(
          'some thing went wrong while registring user',
        );
      }

      // if user is created successfully then  send email to user for email varification
      return {
        success: true,
        message: 'user created successfully',
      };
    } catch (error) {
      throw error;
    }
  }
}

memandangkan mendaftarkan titik akhir pengguna ialah kekerasan titik akhir yang sensitif
atau serangan kamus boleh berlaku kami mengekalkan had kadar yang ketat

Hantar E-mel Pengesahan

untuk menghantar e-mel pengesahan kepada kegunaan pengguna Hantar semula ialah perkhidmatan yang mudah digunakan yang hebat. tetapi saya memutuskan untuk membuat episod berasingan untuk keseluruhan perkhidmatan pemberitahuan supaya memahaminya menjadi lebih mudah untuk semua orang

Atas ialah kandungan terperinci Hari Melaksanakan Pengesahan JWT dalam NestJS dengan Pasport (Bahagian 1). Untuk maklumat lanjut, sila ikut artikel berkaitan lain di laman web China PHP!