Hapi 是一款流行的 Node.js Web 框架，它提供了一系列的插件，帮助开发者快速构建 Web 应用。安全一直是 Web 应用开发中非常重要的一个方面，Hapi 也提供了一些安全插件来保护应用的安全性。本文将介绍如何使用 Hapi 的安全插件来保护你的应用。
安全插件
Hapi 提供了多个安全插件，包括：
- hapi-auth-basic：基本认证插件，用于验证用户名和密码。
- hapi-auth-jwt2：JSON Web Token（JWT）认证插件，用于验证 JWT。
- hapi-cors：跨域资源共享（CORS）插件，用于控制跨域请求。
- hapi-rate-limit：限制请求速率插件，用于防止恶意攻击。
- hapi-helmet：安全头部插件，用于设置 HTTP 头部，提高应用的安全性。
本文将介绍如何使用 hapi-auth-basic 和 hapi-helmet 这两个插件。
hapi-auth-basic
hapi-auth-basic 是 Hapi 的基本认证插件，它可以用于验证用户名和密码。下面是一个例子：
// javascriptcn.com 代码示例
const Hapi = require('@hapi/hapi');
const Bcrypt = require('bcrypt');
const Basic = require('@hapi/basic');
const users = {
john: {
username: 'john',
password: '$2b$10$zhC6bPv6fWc6iFZ6nNl6D.7X8Wz6xjyLJQ2b6vY8aUWp6UfZ6UJ9a', // 'password'
name: 'John Doe',
id: '2133d32a'
}
};
const validate = async (request, username, password, h) => {
const user = users[username];
if (!user) {
return { isValid: false };
}
const isValid = await Bcrypt.compare(password, user.password);
const credentials = { id: user.id, name: user.name };
return { isValid, credentials };
};
const init = async () => {
const server = Hapi.server({
port: 3000,
host: 'localhost'
});
await server.register(Basic);
server.auth.strategy('simple', 'basic', { validate });
server.auth.default('simple');
server.route({
method: 'GET',
path: '/',
handler: function (request, h) {
return 'welcome';
}
});
await server.start();
console.log('Server running on %s', server.info.uri);
};
process.on('unhandledRejection', (err) => {
console.log(err);
process.exit(1);
});
init();在上面的例子中，我们首先定义了一个名为 users 的对象，其中包含了一个用户的用户名、密码和其他信息。然后我们定义了一个 validate 函数，它接收用户名和密码，如果用户名和密码正确，则返回一个对象，其中包含了用户的信息；如果用户名或者密码不正确，则返回一个 isValid 属性为 false 的对象。
接下来，我们使用 await server.register(Basic) 注册了 hapi-auth-basic 插件。然后，我们使用 server.auth.strategy 方法定义了一个名为 simple 的认证策略，使用 basic 方案，并传入了 validate 函数。最后，我们使用 server.auth.default 方法将 simple 认证策略设置为默认策略。
最后，我们使用 server.route 方法定义了一个 GET 路由，如果用户没有通过认证，则无法访问该路由。
hapi-helmet
hapi-helmet 是 Hapi 的安全头部插件，它可以设置 HTTP 头部，提高应用的安全性。下面是一个例子：
// javascriptcn.com 代码示例
const Hapi = require('@hapi/hapi');
const Helmet = require('@hapi/helmet');
const init = async () => {
const server = Hapi.server({
port: 3000,
host: 'localhost'
});
await server.register(Helmet);
server.route({
method: 'GET',
path: '/',
handler: function (request, h) {
return 'welcome';
}
});
await server.start();
console.log('Server running on %s', server.info.uri);
};
process.on('unhandledRejection', (err) => {
console.log(err);
process.exit(1);
});
init();在上面的例子中，我们首先使用 await server.register(Helmet) 注册了 hapi-helmet 插件。然后，我们可以使用 server.route 方法定义路由，hapi-helmet 会自动设置一些 HTTP 头部，提高应用的安全性。
总结
在本文中，我们介绍了如何使用 Hapi 的安全插件来保护你的应用。hapi-auth-basic 插件可以用于验证用户名和密码，hapi-helmet 插件可以设置 HTTP 头部，提高应用的安全性。在实际开发中，我们可以根据实际需求来选择使用哪些插件，并根据文档来正确配置插件。
来源：JavaScript中文网 ，转载请注明来源 本文地址：https://www.javascriptcn.com/post/656ff3a5d2f5e1655d87e371