前言
随着 GraphQL 的流行,越来越多的开发者开始使用 Apollo Server 来提供 GraphQL API,而在这个过程中,需要考虑如何实现用户认证和授权。passportjs 是一个流行的用户认证和授权库,而 apollo-passportjs 则是一个为 Apollo Server 设计的 passportjs 插件,本文将详细介绍如何使用 apollo-passportjs 实现用户认证和授权。
基本概念
在介绍 apollo-passportjs 的使用前,先来了解一下认证和授权的基本概念。
认证:用来验证用户身份的过程,通常会使用用户名和密码等信息进行验证。
授权:在认证通过后,通过对用户身份的判断,决定该用户能够访问哪些资源,哪些操作需要授权。
安装
使用 npm 包管理器安装 apollo-passportjs。
npm install apollo-passportjs
使用
初始化 apollo-passportjs
要使用 apollo-passportjs,首先需要初始化 PassportJS,这可以在 Apollo Server 中完成。以下示例展示了如何在 Apollo Server 中初始化 PassportJS 和 apollo-passportjs。
-- -------------------- ---- ------- ----- -------- - -------------------- ----- ----------- - ------------------------ ----- - ------------ - - ------------------------- ----- - --------------- - - ----------------------------- ---------------- ---------------------- --------------- ----------------------------------------------------- ------------ ------------ -- ------------ ----- -- - ------ ---------- - --- ------------- --- ---- ----- ------ - --- -------------- --------- ---------- -------- -- --- -- -- - ------ ---------------------------- ---- ---- ------------- ------- --------- -------- --- - --- ----------------------- --- -- -- - --------------- ------ ----- -- --------- ---
这段代码中,我们使用 passport-jwt 模块实现了 JWT 的认证策略,通过从 Authorization 头部中提取 JWT,并使用提供的 secret 进行解码。然后通过将 PassportContext 初始化为 Apollo Server 的上下文,可以在 GraphQL 查询和操作中使用传统的 PassportJS 认证和授权策略。
PassportJS 序列化和反序列化
在实际项目中,通常会将用户信息存储在数据库中,而 PassportJS 的序列化和反序列化策略用于在用户登录后将用户信息(通常是用户 ID)存储到 session 中或者其他缓存中。以下示例展示了如何实现 PassportJS 的序列化和反序列化功能。
-- -------------------- ---- ------- ----------------------------- ----- -- - ---------- --------- --- ----------------------------- ----- -- - -------------- --- -- -- ----- ----- -- - --------- ------ --- ---
上面代码中,PassportJS 序列化函数将用户 ID 存储在 session 中,而反序列化函数则在 session 中获取用户 ID,并查找对应的用户信息并返回。
PassportJS 验证策略
在 PassportJS 中,验证策略用于定义一套验证用户身份的方式,例如使用本地验证、OAuth 验证等等。以下示例展示了如何实现 PassportJS 的本地验证策略。
-- -------------------- ---- ------- ----- ------------- - ----------------------------------- ---------------- ------------------------ --------- ----- -- - -------------- --------- -------- -- ----- ----- -- - -- ----- - ------ ---------- - -- ------- - ------ ---------- ------ - -------- ---------- ---------- --- - -- ------------------------------- - ------ ---------- ------ - -------- ---------- ---------- --- - ------ ---------- ------ --- ----
在上面代码中,我们定义了一个本地验证策略,该策略将查找数据库中是否存在该用户,并检查密码是否匹配。如果用户不存在或密码不匹配,则验证失败,否则验证成功并返回用户信息。
PassportJS 路由保护
要使用 PassportJS 来保护路由,需要使用 passport.authenticate
中间件,例如下面的代码展示了如何使用 PassportJS 来保护某一路由。
app.get('/profile', passport.authenticate('jwt', { session: false }), (req, res) => { res.send(req.user); });
这段代码中,我们使用 passport.authenticate
中间件来保护 /profile
路由,当用户访问该路由时,如果没有通过 JWT 认证,则将被重定向到登录页面。
Apollo Server 集成
我们已经了解了 PassportJS 和 apollo-passportjs 的基本使用方式,接下来让我们看一下如何在 Apollo Server 中使用 apollo-passportjs。
首先,定义 GraphQL schema:
-- -------------------- ---- ------- ---- ---- - --- --- --------- ------- --------- ------- - ---- ----- - --- ---- - ---- -------- - ---------------- -------- --------- --------- ------- --------------- -------- --------- --------- ------ -
然后,编写 resolvers 代码:
-- -------------------- ---- ------- ----- --------- - - ------ - --- ------ ----- -------- -- - ------ ------------------ - -- --------- - ------- ----- ------ - --------- -------- -- -------- -- - ------ ------------------------ ---------- -- ------ ----- ------ - --------- -------- -- -------- -- - ------ ----------------------- ---------- - - --
在上面的代码中,我们定义了三个 resolvers 函数,用于处理 Graphql 查询和操作。其中,context
参数是 apollo-passportjs 的上下文对象,它提供了常用的 PasssportJS API,如 signup
、login
、logout
、isAuthenticated
等。
最后,我们需要在 Apollo Server 中将 PassportContext 初始化为上下文并将 resolvers 传递给 ApolloServer
:
-- -------------------- ---- ------- ----- ------ - --- -------------- --------- ---------- -------- -- --- -- -- - ------ ---------------------------- ---- ---- ------------- ------- --------- -------- --- - ---
现在我们可以愉快地使用 apollo-passportjs 来管理用户认证和授权了。
总结
通过本文的介绍,相信读者已经掌握了如何使用 apollo-passportjs 实现用户认证和授权的方法。在实际项目中,好的用户认证和授权策略能极大地提高系统的安全性和用户体验。所以,我们应该根据项目的实际情况选择合适的认证和授权方式,并及时更新常用的认证和授权库,以保证项目的安全性。
来源:JavaScript中文网 ,转载请注明来源 https://www.javascriptcn.com/post/6005582181e8991b448d54d4