Redux身份驗證：使用Auth0保護您的應用程序-js教程-PHP中文網

Redux Authentication: Secure Your Application with Auth0

核心要點

Redux 提供了一種結構化的方式來管理 React 應用中的狀態，使數據流易於預測和管理，尤其對於大型應用而言。
Auth0 用於用戶身份驗證，提供快速設置和高級功能，例如社交登錄和多因素身份驗證，無需複雜的後台設置。
JSON Web Tokens (JWT) 用於針對 RESTful API 進行安全、無狀態的身份驗證，這簡化了傳統的基於會話的身份驗證流程。
本教程利用 Auth0 的 Lock 小部件簡化登錄流程，並使用 Redux 中間件高效且安全地處理 API 調用。
受保護的路由確保應用程序的某些部分僅供已認證用戶訪問，從而增強安全性。
應用程序架構包括設置 Redux 動作、reducer 和中間件，以處理身份驗證狀態和從 API 獲取數據。

感謝 Peleke Sengstacke 對本文進行同行評審。感謝所有 SitePoint 的同行評審員，使 SitePoint 內容達到最佳狀態!

Redux 在 React 社區乃至更廣泛的領域都非常流行，這是有充分理由的。它是 Dan Abramov 創建的一個庫，它使處理單向數據流變得井然有序，並允許開發人員使用強大的開發功能，例如時間旅行和記錄/回放。

聽起來很棒，對吧？但問題是：它需要編寫更多代碼。但是，如果您有維護大型應用程序的經驗，您可能會知道數據處理可能會變得難以控制且難以管理。使用 Redux，我們可以隨時清楚地了解應用程序的狀態，並準確地知道我們的數據在做什麼。

在本教程中，我們將了解如何開始創建一個真實的 React Redux 應用程序，該應用程序對用戶進行身份驗證並調用遠程 API 獲取數據。我們的應用程序將從 Node 後端檢索星球大戰絕地武士列表，以便我們可以顯示他們的姓名和照片。對於身份驗證，我們將使用 Auth0，以便我們可以快速啟動並運行，並且還可以輕鬆獲得諸如社交登錄和多因素身份驗證之類的功能。

Redux Authentication: Secure Your Application with Auth0

我們不會深入探討 Redux 的基本概念，因此，如果您不熟悉該庫，請查看以下一些優秀的入門資源：

如何使用 React、Redux 和 Immutable.js 構建待辦事項應用程序
Redux 文檔

我們即將構建的應用程序的源代碼可以從此處下載。

Redux 身份驗證：入門

本教程的 React 項目將使用 ES2015 編寫，因此我們將使用 Babel 編譯成 ES5，並使用 webpack 處理模塊捆綁。與其從頭開始設置，不如讓我們從 Redux 存儲庫中 Dan 的真實世界入門示例開始。獲取一份副本並安裝依賴項。

npm install

登入後複製

註冊 Auth0

為單頁應用程序（例如我們正在構建的應用程序）進行身份驗證的最佳方法是使用 JSON Web Tokens (JWT)。 JWT 提供了一種針對 RESTful API 進行無狀態身份驗證的方法，這比基於會話和 Cookie 的身份驗證具有許多優勢。缺點是，自己編寫 JWT 身份驗證解決方案可能會很棘手且容易出錯，但幸運的是，我們可以使用 Auth0，而不必擔心任何服務器或安全實現細節。

如果您尚未這樣做，請訪問並註冊一個免費的 Auth0 帳戶。使用免費計劃，我們可以獲得 7,000 個常規活躍用戶，並且可以使用兩個社交身份提供商。

註冊後，請按照提示初始化您的帳戶。請記住，您可以在同一個帳戶下擁有多個應用程序，因此請選擇適合您情況的域名——可能是您組織的名稱。第一步，我們需要將我們的 localhost URL 設置為允許的來源。這可以在“允許的來源 (CORS)”文本區域中完成。

Redux Authentication: Secure Your Application with Auth0

設置 Web 服務器

讓我們首先解決絕地武士 Web 服務器的問題。這只需要一個簡單的 RESTful API，以 JSON 數據的形式返回我們的絕地武士，而使用 NodeJS 和 Express 框架是快速實現此目的的一種方法。您可以使用任何您喜歡的服務器端語言或框架，只要返回 JSON 數據即可。

注意：星球大戰純粹主義者會注意到，我們在整個應用程序中使用“Jedis”作為 Jedi 的複數形式，但這並不是正確的複數形式。相反，我們應該只使用“Jedi”。也許是這樣，但我對此沒問題，因為它使我們的應用程序更容易:)

首先，初始化一個應用程序並安裝依賴項：

mkdir server && cd server
touch server.js
npm init
npm install express express-jwt cors

登入後複製

我們可以在單個 JavaScript 文件中提供服務器所需的所有代碼。

// server.js

const express = require('express');
const app = express();
const jwt = require('express-jwt');
const cors = require('cors');

app.use(cors());
app.use(express.static('public'));

// express-jwt 提供的身份验证中间件。
// 此中间件将检查传入请求，以获取应用于它的任何路由上的有效 JWT。
const authCheck = jwt({
  secret: 'AUTH0_SECRET',
  // 如果您的 Auth0 客户端是在 2016 年 12 月 6 日之前创建的，
  // 请取消注释下面的行并删除上面的行
  // secret: new Buffer('AUTH0_SECRET', 'base64'),
  audience: 'AUTH0_CLIENT_ID'
});

var jedis = [
  {
    id: 1,
    name: 'Luke Skywalker',
    image: 'http://localhost:7000/images/luke-skywalker.jpg'
  },
  {
    id: 2,
    name: 'Anakin Skywalker',
    image: 'http://localhost:7000/images/anakin-skywalker.png'
  },
  {
    id: 3,
    name: 'Yoda',
    image: 'http://localhost:7000/images/yoda.png'
  },
  {
    id: 4,
    name: 'Obi-Wan Kenobi',
    image: 'http://localhost:7000/images/obi-wan-kenobi.jpg'
  },
  {
    id: 5,
    name: 'Mace Windu',
    image: 'http://localhost:7000/images/mace-windu.jpg'
  }
];

app.get('/api/jedis', (req, res) => {
  const allJedis = jedis.map(jedi => { 
    return { id: jedi.id, name: jedi.name }
  });
  res.json(allJedis);
});

app.get('/api/jedis/:id', authCheck, (req, res) => {
  res.json(jedis.filter(jedi => jedi.id === parseInt(req.params.id))[0]);
});

app.listen(7000);
console.log('Listening on http://localhost:7000');

登入後複製

我們有一個絕地武士數組和兩個處理它們的端點。第一個端點返回所有絕地武士，但只返回它們的 id 和 name 屬性。第二個端點位於 /jedis/:id，返回單個絕地武士，但也包括圖像 URL。我們將使用我們的身份驗證中間件保護第二個端點，並將其限制為只有經過身份驗證的用戶才能訪問。

但是我們如何實際保護這個端點呢？我們使用 express-jwt 創建一個中間件，該中間件查找傳入的 JSON Web Token 並根據我們提供的密鑰對其進行驗證。然後，我們可以將此中間件應用於我們的任何端點——我們正在對 /jedis/:id 端點的第二個參數進行此操作——並且只有包含有效令牌的請求才能通過。

中間件本身是通過向 authCheck 提供我們的 Auth0 密鑰和客戶端 ID 來設置的，在這裡您可以提供特定於您的應用程序的密鑰。這些密鑰可以在 Auth0 管理面板的 應用程序 下找到。

絕地武士圖像來自服務器上的公共目錄。您可以從存儲庫中獲取相同的圖像，或者如果您願意，也可以在數據中包含指向其他來源圖像的鏈接。

服務器就位後，讓我們驗證 API 是否按預期工作。我們可以使用 Postman 等工具來完成此操作。

Redux Authentication: Secure Your Application with Auth0