在今天的互联网时代，网站和应用程序安全性变得特别重要。为了保护网站和应用程序不被黑客攻击，越来越多的开发者们倾向于使用身份验证和授权技术。Hapi 是一种基于 Node.js 的 Web 框架，它提供了许多内置的身份验证和授权插件，使得开发人员可以轻松地保护其应用程序并提高其安全性。在这篇文章中，我们将详细介绍 Hapi 中的身份验证和授权功能，并提供一些实用示例代码及指导意义。
什么是身份验证？
身份验证是一种安全机制，它用于确定用户是否有权访问受保护的资源或功能。在 Hapi 中，您可以使用内置的 hapi-auth-basic、hapi-auth-cookie 和 hapi-auth-jwt2 插件来实现身份验证。它们提供了不同的身份验证机制和方法来保护您的应用程序。
hapi-auth-basic
hapi-auth-basic 是 Hapi 的一种基本身份验证插件，它使用 HTTP 基本身份验证机制来验证用户。以下是一个简单的示例：
-- -------------------- ---- -------
----- ---- - ----------------------
----- ------ - ------------------
----- ----- - -
----- -
--------- -------
--------- ---------------------
----- ----- -----
--- ----------
-
--
----- -------- - ----- --------- --------- --------- -- -- -
----- ---- - ----------------
-- ------- -
----- -------------------------------- --------------
-
----- ------- - ----- ------------------------ ---------------
----- ----------- - -
--- --------
----- ---------
--
------ - -------- ----------- --
--
----- ---- - ----- -- -- -
----- ------ - -------------
----- -----
----- -----------
---
----- ----------------------------------------
------------------------------ -------- - -------- ---
--------------
------- ------
----- ----
-------- -------- --------- -- -
------ ----------
--
-------- -
----- --------
-
---
----- ---------------
------------------- ------- --- ---------------------
--在上面的代码中，我们定义了一个名为 users 的对象，其中包含用户的详细信息。validate 函数用于验证用户的凭据，并在验证成功后返回用户的凭据信息。然后将基本身份验证添加到策略中，并将此策略应用于所有需要身份验证的路由中。
hapi-auth-cookie
hapi-auth-cookie 是一种 Hapi 的 cookie 身份认证插件，它允许用户在请求头中包含 cookie，从而进行身份验证。以下是一个示例：
-- -------------------- ---- -------
----- ---- - ----------------------
----- ------ - ------------------
----- ---- - ----------------------
----- ----- - -
----- -
--------- -------
--------- ---------------------
----- ----- -----
--- ----------
-
--
----- -------- - ----- --------- -------- -- -
----- ---- - ------------------
-- ------- -
----- -------------------------- ---------
-
------ - ------ ----- ------------ - --- -------- ----- --------- - --
--
----- ---- - ----- -- -- -
----- ------ - -------------
----- -----
----- -----------
---
----- -----------------------------------------
------------------------------- --------- -
------- -
----- ------
--------- -----------------
--------- -----
--
----------- ---------
------------- --------
---
--------------
------- ------
----- ----
-------- -------- --------- -- -
------ -------- -- -- -----
--
-------- -
----- ---------
-
---
----- ---------------
------------------- ------- --- ---------------------
--在上面的代码中，我们定义了一个名为 users 的对象，其中包含用户的详细信息。validate 函数用于验证用户的凭据，并在验证成功后返回用户的凭据信息。
hapi-auth-jwt2
hapi-auth-jwt2 是 Hapi 的一种 JSON Web Token（JWT）身份验证插件，它允许使用 JWT 进行身份验证和授权。以下是一个示例：
-- -------------------- ---- -------
----- ---- - ----------------------
----- ---- - ----------------------
----- ----- - -
----- -
--- -----------
----- ----- -----
--------- --------------------
-
--
----- --------------- - ----- --------- -------- -- -- -
----- ---- - ------------------
-- ------- -
----- -------------------------- ------
-
------ - -------- ----- ------------ - --- -------- ----- --------- - --
--
----- ---- - ----- -- -- -
----- ------ - -------------
----- -----
----- -----------
---
----- -------------------------------------------
--------------------------- ------ -
---- -----------------------
--------- ----------------
-------------- - ----------- --------- -
---
--------------
------- ------
----- ----
-------- -------- --------- -- -
------ -------- -- -- -----
--
-------- -
----- -----
-
---
----- ---------------
------------------- ------- --- ---------------------
--在上面的代码中，我们定义了一个身份验证策略，其 key 秘钥为‘NeverShareYourSecret’，验证选项对象的 algorithms 属性为 HS256。要访问受保护的路由，用户需要提供有效的 JWT，JWT 包含用户的凭据和一些元数据，例如过期时间等。
什么是授权？
授权是一种安全机制，用于确定哪些用户可以访问特定的资源或功能。在 Hapi 中，您可以使用内置的 hapi-acl-auth 和 hapi-authorization 授权插件来实现授权。它们提供了不同的授权机制和方法来保护您的应用程序。
hapi-acl-auth
hapi-acl-auth 是一种基于角色的访问控制（RBAC）授权插件，它允许基于用户角色来控制哪些资源可以被访问，哪些不可以。以下是一个示例：
-- -------------------- ---- -------
----- ---- - ----------------------
----- ------- - -------------------------
----- ----- - -
-
--------- --------
--------- --------
------ --------------------
------ --------
--
-
--------- --------
--------- --------
------ --------------------
------ -------- --------
-
--
----- ----------- - -
------- -
------------ -----
------------ ----
--
-------- -
--------------- -----
------------- -----
--------------- -----
--------------- ----
-
--
----- -------- - ----- --------- --------- --------- -- -- -
----- ---- - -------------- -- ---------- --- ----------
-- ------- -
----- -------------------------- --------------
-
----- ------- - ----- ------------------------ ---------------
-- ---------- -
----- -------------------------- --------------
-
------ -
--------
------------ -
--- --------
----- --------------
------ -----------
------ ----------
-
--
--
----- ---- - ----- -- -- -
----- ------ - -------------
----- -----
----- -----------
---
----- -------------------------
--------------------------- ------ -
------------
--------
---
--------------
-
------- ------
----- --------
---------------- -- -
------ ------- --------
--
------- -
----- ------
-------- -
------------ -
------------ -------------
-
-
-
--
-
------- -------
----- --------
---------------- -- -
------ ----- ----------
--
------- -
----- ------
-------- -
------------ -
------------ -------------
-
-
-
-
---
----- ---------------
------------------- ------- --- ---------------------
--在上面的示例中，我们定义了一组用户数据 Users 和资源的访问控制列表 permissions。使用 validate 函数验证用户凭据，plugins.hapiAclAuth.permissions 属性确定哪些用户有权访问资源或功能。
hapi-authorization
hapi-authorization 是一种基于资源的授权插件，它允许您以精确的方式控制哪些资源可以被谁访问。以下是一个示例：
-- -------------------- ---- -------
----- ---- - ----------------------
----- ---------- - ----------------------
----- ----- - -
- --- -------- ----- ------- ----- ------- --
- --- -------- ----- -------- ----- ------ -
--
----- ---- - ----- -- -- -
----- ------ - --- ------------- ----- ----- ----- ----------- ---
----- ----------------------------
------------------------------ ---------------------- -
---------------- -----
--------- ----- --------- ------ -- -- -
------ - -------- ----- ------------ - ------ --------- - --
-
---
------------------------------
-----------------
------- -----------
-------- -
------ -------- ---------
---------- -----
--------------- -----------------------
-
---
--------------
-
------- ------
----- ----
-------- ----- --------- -- -- -
------ ------- --------
--
-------- -
----- -
--------- --------
--
-------- -
------ -
------------ --------------
-
-
-
-
---
----- ---------------
------------------- ------- --- ---------------------
--
-------在上面的示例中，我们定义了一组用户数据 users ，不同的用户有不同的角色。使用 validate 函数验证用户凭据，plugins.authz.permissions 属性确定哪些用户有权访问资源或功能。
结论
以上便是 Hapi 中的身份验证和授权的完整指南。通过使用 Hapi 中内置的身份验证和授权插件，您可以轻松地保护您的应用程序并提高其安全性。我们在本文中提供了一些实用示例代码和指导意义，以帮助您更好地了解如何在您的应用程序中实现身份验证和授权。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/66f37268e1e8e99bfaf718b6