Szeroka Perspektywa Full-Stack Web Developmentu: Basic Auth

0:00W tej lekcji przyjrzymy się bliżej pierwszemu sposobowi uwierzytelnienia.

0:03W naszym przypadku przygotowałem sobie

0:05aplikację, która wykorzystuje middleware o nazwie Passport,

0:09czyli znany i lubiany mechanizm wykorzystywany właśnie do tego, aby

0:13tworzyć uwierzytelnienia na różne popularne sposoby.

0:17Zacznijmy jednak od tego, że w naszym

0:19kontrolerze mamy zdefiniowany jeden endpoint, który chroniony jest specjalnym

0:23dekorator, który możemy oczywiście przypisać albo w tym miejscu, albo

0:27bezpośrednio do całego kontrolera i tym samym będzie on uwzględniany w przypadku

0:31każdej metody zdefiniowanej wewnątrz danego kontrolera.

0:34W każdym razie, jeżeli chodzi o ten konkretny przypadek, wygląda to tak, że za

0:38każdym razem, gdy wyślemy zapytanie na ten endpoint, w pierwszej kolejności zostanie

0:42uruchomiony ten gadżet, inaczej mówiąc middleware.

0:45Jego zadaniem będzie pobranie informacji z pliku

0:49na temat loginu oraz hasła użytkownika oraz zestawienie go z tymi, które zostały

0:53przesłane przez użytkownika razem z zapytaniem.

0:56Sama weryfikacja odbywa się w tym przypadku w związku z tym, że

1:00wykorzystujemy Passport, gdzie jest wewnątrz basics strategii.

1:04Konkretnie mamy tutaj metodę Validation, w przypadku której mamy dostęp do nazwy

1:08użytkownika oraz hasła, które zostaje przesłane z zapytaniem.

1:11Jak widzisz mamy tutaj prosty IF

1:13weryfikujący wprost, czy te informacje są ze sobą zgodne.

1:17Jeżeli tak, przekazujemy true i tym samym

1:19przepuszczamy użytkownika dalej, a w przeciwnym razie wyrzucamy wyjątek i tym

1:23samym użytkownik nie ma dostępu do tego endpoint.

1:26Zatem jeżeli na razie komentujemy sobie

1:29ten gadżet, no to oczywiście w momencie gdy przejdziemy do Insomnia, następnie

1:33prześlemy sobie zapytanie typu get, to naturalnie uzyskamy dostęp do endpoint.

1:37Jeżeli jednak uwzględnię ten gest, no to w tym momencie mamy blokadę Status 401

1:43Auto, ale jeżeli tylko przywrócę odpowiedni nagłówek, dane zostaną

1:47zweryfikowane pomyślnie i mamy status 200 OK oraz dostęp do zasobu.

1:52Co więcej, jeżeli zajrzymy tutaj w Time

1:54Machine, to oczywiście mamy tutaj dostęp do nagłówka Auto Dizajn.

1:58Mało tego, jeżeli skopiuję sobie teraz jego zawartość, a następnie znowu z pomocą

2:02wywołamy rozszerzenie Base64, ale tym razem kod, no to w moim schowku pojawi się

2:08wartość, którą wcześniej zapisaliśmy za pomocą Base64.

2:12Zatem jak widzisz, odczytanie informacji, która jest przesłana tutaj w nagłówku jest

2:16niezwykle proste I właśnie z tego powodu do wykonywania połączeń musisz zawsze

2:21uwzględniać https oraz mieć na uwadze fakt, że taki sposób uwierzytelnienia może

2:26Ci wystarczyć na potrzeby prostych aplikacji.

2:29Ale w przypadku, gdy ważne jest dla Ciebie

2:31bezpieczeństwo, to zdecydowanie lepiej uwzględnić inną metodę uwierzytelnienia.

2:36I teraz na koniec jeszcze dodam, że jeżeli

2:37zwrócisz uwagę na to ciastko, to pamiętaj o tym, że ono nie ma nic wspólnego z naszą

2:41aplikacją, tylko z pozostałymi przykładami, które mam tutaj przygotowane.

2:45W każdym razie jeżeli chodzi o

2:46uwierzytelnienie z pomocą Basic Auth to by było na tyle.

2:50Podsumowując to cały scenariusz polega na tym, aby w jakimś miejscu zapisać sobie

2:55login oraz hasło użytkownika, a następnie napisać logikę.

2:58W moim przypadku z pomocą Password James,

3:01która będzie chronić nasze endpoint poprzez odczytanie nagłówka przesłanego

3:05przez użytkownika i konkretnie loginu oraz hasła, które jest tam przekazane jako

3:10base64, a następnie porównanie go z zawartością pliku i MWI.

3:14Teoretycznie w przypadku bardzo prostych aplikacji logika ta mogłaby być zapisana

3:19bezpośrednio w kontrolerze, ale oczywiście zdecydowanie lepszym pomysłem jest

3:23wykorzystanie middleware, a w przypadku MSG jest garbów, których rola sprowadza

3:28się właśnie do zabezpieczania naszych ścieżek.

3:30Ostatecznie jednak zawsze pamiętaj o tym, aby dodać odpowiedni guard albo

3:34bezpośrednio do metod, albo bezpośrednio do całego kontrolera.

3:38Naturalnie ten gest nie będzie stosowany w end pointach, które nie wymagają

3:42zabezpieczenia i w tym przypadku przykładem takiego endpoint będzie

3:45chociażby ścieżka, z pomocą której użytkownik tworzy nowe konto.

3:49Po prostu na tym etapie niemożliwe byłoby dla niego przygotowanie takiego nagłówka.

3:53Mam nadzieję, że jest to dla Ciebie

3:55logiczne i tym samym też, że w razie gdy będziesz potrzebować naprawdę prostego

3:59sposobu uwierzytelnienia, sięgniesz po BASIC.

4:01A.

4:02Tymczasem jeżeli chodzi o ten temat, to by było na tyle.

4:05W związku z tym zapraszam Cię do kolejnej lekcji.