如何保护 Fastify 应用的 API-JavaScript中文网-JavaScript教程资源分享门户

Fastify 是一个快速、低开销和易于使用的 Web 框架，其提供了一种建立和管理 Web 服务的简单方式。在应用程序开发中，保护 API 的安全性是至关重要的。在本文中，我们将探讨如何使用一些最流行的技术和安全最佳实践来保护 Fastify 应用的 API。

使用 HTTPS

HTTPS 是一种安全协议，通过在 Web 服务器和客户端之间的通信上添加加密层来保护数据。这可防止窃听者从数据流中截取敏感信息。HTTP 协议是明文协议，因此任何人都可以在网络上获取数据。

让我们看一下如何在 Fastify 中使用 HTTPS。

// javascriptcn.com code example
const fastify = require('fastify')({
  https: {
    key: fs.readFileSync('path/to/key'),
    cert: fs.readFileSync('path/to/cert')
  }
})

fastify.get('/', (req, reply) => {
  reply.send({data: 'Hello World!'})
})

fastify.listen(3000, err => {
  if (err) {
    throw err
  }
  console.log('Server is listening on port 3000')
})

在上面的示例代码中，我们创建了一个 Https 对象并传递了证书和密钥文件的路径。然后我们通过 fastify.get() 定义了根路由。最后我们在端口 3000 上启动 Fastify 服务器。

使用 JWT

JSON Web Token（JWT）是一种基于 JSON 的 Web 令牌。它包含了有关用户和 Web 应用程序之间的信息以及一个私钥来签名并验证令牌。必须使用一个私钥来签名 JWT，以确保令牌的真实性。

以下示例演示如何在 Fastify 中使用 JWT。

// javascriptcn.com code example
const fastify = require('fastify')()
const jwt = require('jsonwebtoken')

fastify.post('/login', (request, reply) => {
  const user = { username: request.body.username }
  const token = jwt.sign(user, 'your-secret-key')

  reply.send({ token: token })
})

fastify.get('/', (request, reply) => {
  const token = request.headers.authorization.split(' ')[1]
  jwt.verify(token, 'your-secret-key', (err, decoded) => {
    if (err) {
      return reply.send({message: 'Invalid token'})
    }
    reply.send({ data: 'Hello World!' })
  })
})

fastify.listen(3000, err => {
  if (err) throw err
  console.log('Server is listening on port 3000')
})

在上面的示例代码中，我们首先定义了 /login 路由。在这个路由中，我们创建一个用户名为用户提供的 JSON 对象，并使用 jwt.sign() 函数将其签名。然后我们使用 reply.send() 返回签名后的令牌。

在 / 路由中，我们从 Authorization 请求头中获取 JWT 令牌。我们使用 jwt.verify() 验证令牌的真实性。如果令牌无效，我们将返回一条错误消息。

限制 API 限制速率

在某些情况下，您可能需要限制 API 的速率，这是一种保护 Web 应用程序免受暴力攻击的方法。在 Fastify 中，可以使用 fastify-rate-limit 插件来限制 API 的速率。下面是示例代码：

// javascriptcn.com code example
const fastify = require('fastify')()
const rateLimit = require('fastify-rate-limit')

fastify.register(rateLimit, {
  max: 100,
  timeWindow: '1 minute'
})

fastify.get('/', (request, reply) => {
  reply.send({ data: 'Hello World!' })
})

fastify.listen(3000, err => {
  if (err) throw err
  console.log('Server is listening on port 3000')
})

在上面的示例代码中，我们首先使用 fastify.register() 函数注册 fastify-rate-limit 插件。max 和 timeWindow 选项用于配置 API 的访问速率限制，分别设置为 100 和 1 分钟。

在根路由中，我们使用 reply.send() 返回 JSON 文本 'Hello World!' 。

结论

本文探讨了如何在 Fastify 应用程序中保护您的 API。请注意，这些技术是保护您的 API 安全性的一部分，但它们并不是万无一失的。使用这些技术时，请始终遵循安全最佳实践，同时监视您的应用程序以识别任何潜在的安全漏洞。

来源：JavaScript中文网，转载请注明来源 https://www.javascriptcn.com/post/6731e3f90bc820c5823b061f