在现代 Web 应用开发中，安全认证和授权是非常重要的一环。Hapi 是一个 Node.js 的 Web 应用框架，它提供了一系列的插件和工具来帮助我们实现安全认证和授权。本文将介绍 Hapi 中的安全认证和授权机制，以及如何在实际项目中应用它们。
安全认证
安全认证是指验证用户身份的过程。在 Hapi 中，我们可以使用多种插件来实现安全认证。其中比较常见的有 hapi-auth-basic、hapi-auth-cookie、hapi-auth-jwt2 等。
hapi-auth-basic
hapi-auth-basic 是 Hapi 中最简单的安全认证插件，它实现了 HTTP 基本认证。HTTP 基本认证是指客户端向服务器发送一个包含用户名和密码的请求头，服务器通过验证这些信息来确定用户身份。
使用 hapi-auth-basic 插件需要先安装：
npm install hapi-auth-basic
然后在 Hapi 应用中注册插件：
-- -------------------- ---- -------
----- ---- - ----------------
----- ------ - --- ------------- ----- ---- ---
----- ----- - -
----- -
--------- -------
--------- --------------
----- ----- -----
--- ----------
-
--
----- -------- - ----- --------- --------- --------- -- -- -
----- ---- - ----------------
-- ------- -
------ - ------------ ----- -------- ----- --
-
----- ------- - -------- --- --------------
----- ----------- - - --- -------- ----- --------- --
------ - -------- ----------- --
--
----- ---- - ----- -- -- -
----- --------------------------------------------
------------------------------ -------- - -------- ---
--------------
------- ------
----- ----
------- -
----- ---------
-------- --------- -- -- -
------ -------- -----------------------------------
-
-
---
----- ---------------
------------------- ------- --- ---------------------
--
-------上面的例子中，我们定义了一个用户对象 users，其中包含一个用户名为 john 的用户。在 validate 函数中，我们检查请求头中的用户名和密码是否匹配 users 中的用户信息，如果匹配则返回 isValid 为 true，并将用户信息存储在 credentials 中。
在应用中，我们使用 server.auth.strategy 方法来定义一个认证策略。在这个例子中，我们定义了一个名为 simple 的策略，使用 basic 插件，并将 validate 函数作为验证函数。在路由中，我们使用 auth 配置项来指定使用 simple 认证策略。
当客户端发送一个请求到根路径时，会触发路由处理函数。由于路由配置中指定了 auth 选项为 simple，因此请求会被 simple 认证策略处理。如果认证成功，路由处理函数返回欢迎信息，否则返回 401 状态码。
hapi-auth-cookie
hapi-auth-cookie 插件实现了基于 Cookie 的认证。它允许我们使用 Cookie 来保存用户身份信息，从而不需要在每个请求中都发送用户名和密码。
使用 hapi-auth-cookie 插件需要先安装：
npm install hapi-auth-cookie
然后在 Hapi 应用中注册插件：
-- -------------------- ---- -------
----- ---- - ----------------
----- ------ - --- ------------- ----- ---- ---
----- ----- - -
----- -
--------- -------
--------- --------------
----- ----- -----
--- ----------
-
--
----- -------- - ----- --------- -------- -- -
----- ---- - ------------------
-- ------- -
------ - ------ ----- --
-
------ - ------ ----- ------------ ---- --
--
----- ---- - ----- -- -- -
----- ---------------------------------------------
------------------------------- --------- -
------- -
----- --------------
--------- -----------------------------------
--------- -----
--
------------- --------
---
--------------
------- ------
----- ----
------- -
----- ----------
-------- --------- -- -- -
------ -------- -----------------------------------
-
-
---
----- ---------------
------------------- ------- --- ---------------------
--
-------在上面的例子中，我们定义了一个用户对象 users，并定义了一个 validate 函数来验证用户身份。在 validate 函数中，我们根据 Cookie 中存储的用户 ID 来查找用户信息，如果找到了则返回 valid 为 true，并将用户信息存储在 credentials 中。
在应用中，我们使用 server.auth.strategy 方法来定义一个认证策略。在这个例子中，我们定义了一个名为 session 的策略，使用 cookie 插件，并将 validate 函数作为验证函数。在路由中，我们使用 auth 配置项来指定使用 session 认证策略。
当客户端发送一个请求到根路径时，会触发路由处理函数。由于路由配置中指定了 auth 选项为 session，因此请求会被 session 认证策略处理。如果认证成功，路由处理函数返回欢迎信息，否则返回 401 状态码。
hapi-auth-jwt2
hapi-auth-jwt2 插件实现了基于 JSON Web Token (JWT) 的认证。JWT 是一种用于身份验证的开放标准，它使用 JSON 对象来描述用户身份信息，并使用数字签名来保证数据的完整性和安全性。
使用 hapi-auth-jwt2 插件需要先安装：
npm install hapi-auth-jwt2
然后在 Hapi 应用中注册插件：
-- -------------------- ---- -------
----- ---- - ----------------
----- ------ - --- ------------- ----- ---- ---
----- ----- - -
----- -
--------- -------
--------- --------------
----- ----- -----
--- ----------
-
--
----- -------- - ----- --------- -------- -- -- -
----- ---- - ------------------
-- ------- -
------ - -------- ----- --
-
------ - -------- ----- ------------ ---- --
--
----- ---- - ----- -- -- -
----- -------------------------------------------
--------------------------- ------ -
---- ---------
---------
-------------- - ----------- --------- -
---
--------------
------- ------
----- ----
------- -
----- ------
-------- --------- -- -- -
------ -------- -----------------------------------
-
-
---
----- ---------------
------------------- ------- --- ---------------------
--
-------在上面的例子中，我们定义了一个用户对象 users，并定义了一个 validate 函数来验证用户身份。在 validate 函数中，我们根据 JWT 中存储的用户 ID 来查找用户信息，如果找到了则返回 isValid 为 true，并将用户信息存储在 credentials 中。
在应用中，我们使用 server.auth.strategy 方法来定义一个认证策略。在这个例子中，我们定义了一个名为 jwt 的策略，使用 jwt 插件，并将 validate 函数作为验证函数。在路由中，我们使用 auth 配置项来指定使用 jwt 认证策略。
当客户端发送一个请求到根路径时，会触发路由处理函数。由于路由配置中指定了 auth 选项为 jwt，因此请求会被 jwt 认证策略处理。如果认证成功，路由处理函数返回欢迎信息，否则返回 401 状态码。
授权
授权是指验证用户是否有权限访问某个资源的过程。在 Hapi 中，我们可以使用 hapi-authorization 插件来实现授权。
使用 hapi-authorization 插件需要先安装：
npm install hapi-authorization
然后在 Hapi 应用中注册插件：
-- -------------------- ---- -------
----- ---- - ----------------
----- ------ - --- ------------- ----- ---- ---
----- ----- - -
----- -
--------- -------
--------- --------------
----- ----- -----
--- -----------
------ ---------
-
--
----- -------- - ----- --------- -------- -- -- -
----- ---- - ------------------
-- ------- -
------ - -------- ----- --
-
------ - -------- ----- ------------ ---- --
--
----- ---- - ----- -- -- -
----- -----------------
--------------------------
-----------------------------
---
--------------------------- ------ -
---- ---------
---------
-------------- - ----------- --------- -
---
---------------------------
--------------
------- ------
----- ----
------- -
----- -
------- - ------ --------- -
--
-------- --------- -- -- -
------ -------- -----------------------------------
-
-
---
----- ---------------
------------------- ------- --- ---------------------
--
-------在上面的例子中，我们在用户对象中添加了一个 scope 属性，用于表示用户的权限。在 validate 函数中，我们将用户对象存储在 credentials 中，以便在授权时使用。
在应用中，我们使用 server.auth.default 方法来定义默认的认证策略。在这个例子中，我们将默认的认证策略设置为 jwt。在路由中，我们使用 auth 配置项来指定需要的权限。在这个例子中，我们指定了需要 admin 权限才能访问根路径。
当客户端发送一个请求到根路径时，会触发路由处理函数。由于路由配置中指定了需要 admin 权限，因此请求会被 hapi-authorization 插件处理。如果用户拥有 admin 权限，路由处理函数返回欢迎信息，否则返回 403 状态码。
结语
本文介绍了 Hapi 中的安全认证和授权机制，并提供了使用示例。在实际项目中，我们可以根据需求选择合适的认证和授权插件，并使用 server.auth.strategy 方法来定义认证策略。使用 hapi-authorization 插件可以轻松实现授权功能。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/67d0b2a3e46428fe9edfe267
