如何在 Hapi 框架中使用 hapi-auth-signed 插件进行身份验证

在开发 Web 应用程序时，安全性通常是我们需要考虑的一个重要问题。其中，身份验证是保护 Web 应用程序的一种重要方式。在 Hapi 框架中，我们可以使用 hapi-auth-signed 插件来实现身份验证。

什么是 hapi-auth-signed 插件？

hapi-auth-signed 是 Hapi 框架中的一个插件，用于通过签名验证来验证请求的身份。它使用 Cookie 或 Authorization 头来存储和传递签名，从而确保请求的来源是可信的。

如何使用 hapi-auth-signed 插件进行身份验证？

下面是使用 hapi-auth-signed 插件进行身份验证的一般步骤：

第一步：安装和注册插件

首先，我们需要在项目中安装 hapi-auth-signed 插件。可以使用 npm 安装：

npm install hapi-auth-signed

安装完成后，我们需要在 Hapi 应用程序中注册插件。可以使用以下代码将插件注册到应用程序中：

const Hapi = require('hapi');
const server = new Hapi.Server();

server.register(require('hapi-auth-signed'), (err) => {
    if (err) {
        console.error('Failed to load plugin:', err);
    }
});

第二步：配置插件

在注册插件后，我们需要配置插件来指定如何验证请求的身份。可以使用以下代码来配置插件：

// www.javascriptcn.com code example
server.auth.strategy('signed', 'signed', {
    verifyFunc: async (request, signature, callback) => {
        try {
            // 验证签名的逻辑
            // 如果签名有效，则调用 callback(null, true);
            // 如果签名无效，则调用 callback(null, false);
        } catch (err) {
            callback(err);
        }
    }
});

server.auth.default('signed');

在这个例子中，我们使用 verifyFunc 函数来验证签名的有效性。verifyFunc 函数是一个异步函数，它接收请求对象、签名和一个回调函数作为参数。如果签名有效，则调用回调函数并传递 null 和 true 作为参数。如果签名无效，则调用回调函数并传递 null 和 false 作为参数。

第三步：发送请求并验证身份

在插件配置完成后，我们可以使用以下代码来发送请求并验证身份：

// www.javascriptcn.com code example
const options = {
    method: 'GET',
    url: '/protected',
    headers: {
        Authorization: 'Bearer ' + signature // 或者使用 Cookie
    }
};

const response = await server.inject(options);

在这个例子中，我们使用 Authorization 头来传递签名。如果我们使用 Cookie 来传递签名，则可以省略 headers 字段。

示例代码

下面是一个完整的示例，展示了如何使用 hapi-auth-signed 插件进行身份验证：

// www.javascriptcn.com code example
const Hapi = require('hapi');
const server = new Hapi.Server();

server.connection({
    port: 3000
});

server.register(require('hapi-auth-signed'), (err) => {
    if (err) {
        console.error('Failed to load plugin:', err);
    }
});

server.auth.strategy('signed', 'signed', {
    verifyFunc: async (request, signature, callback) => {
        try {
            // 验证签名的逻辑
            // 如果签名有效，则调用 callback(null, true);
            // 如果签名无效，则调用 callback(null, false);
        } catch (err) {
            callback(err);
        }
    }
});

server.auth.default('signed');

server.route({
    method: 'GET',
    path: '/protected',
    config: {
        auth: 'signed'
    },
    handler: (request, reply) => {
        reply('Hello, ' + request.auth.credentials.name);
    }
});

server.route({
    method: 'POST',
    path: '/login',
    handler: (request, reply) => {
        // 登录逻辑
        // 签名逻辑
        reply('Logged in!');
    }
});

server.start((err) => {
    if (err) {
        console.error('Failed to start server:', err);
    }

    console.log('Server running at:', server.info.uri);
});

在这个示例中，我们创建了一个 Hapi 应用程序，并注册了 hapi-auth-signed 插件。然后，我们配置了插件并定义了一个受保护的路由。在登录路由中，我们可以执行登录逻辑并生成签名。在受保护的路由中，我们使用 auth 配置来指定该路由需要进行身份验证。如果签名有效，则可以访问该路由。

来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/67d2bc30a941bf71345572d5