NodeJS/Express JS路由保护
NodeJS/Express JS路由保护是一种在Node.js和Express.js应用程序中实现的安全措施，用于保护特定路由免受未经授权的访问。它可以防止恶意用户或未经授权的第三方访问敏感数据或执行未经授权的操作。
路由保护可以通过以下几种方式实现：
- 认证（Authentication）：认证是一种验证用户身份的过程。常见的认证方式包括用户名和密码、令牌（Token）或证书。通过在路由中添加认证中间件，可以确保只有经过身份验证的用户才能访问受保护的路由。腾讯云提供的相关产品是腾讯云身份认证服务（CAM），详情请参考：腾讯云身份认证服务
- 授权（Authorization）：授权是一种确定用户是否有权限执行特定操作的过程。通过在路由中添加授权中间件，可以根据用户的角色或权限级别来限制其对资源的访问。腾讯云提供的相关产品是访问管理（Cloud Access Management，CAM），详情请参考：腾讯云访问管理
- 输入验证（Input Validation）：输入验证是一种确保用户提供的数据符合预期格式和类型的过程。通过在路由中添加输入验证中间件，可以防止恶意用户提交恶意数据或利用输入漏洞进行攻击。腾讯云没有特定的产品提供输入验证，但可以使用常见的Node.js库，如Joi或Express-validator来实现输入验证。
- 防止跨站点请求伪造（Cross-Site Request Forgery，CSRF）：CSRF是一种攻击方式，利用用户已经通过身份验证的会话来执行未经授权的操作。通过在路由中添加CSRF保护中间件，可以防止CSRF攻击。腾讯云没有特定的产品提供CSRF保护，但可以使用常见的Node.js库，如csurf来实现CSRF保护。
- 日志记录（Logging）：日志记录是一种记录应用程序活动的过程。通过在路由中添加日志记录中间件，可以记录用户的访问和操作，以便后续审计和故障排除。腾讯云没有特定的产品提供日志记录，但可以使用常见的Node.js库，如morgan来实现日志记录。
综上所述，NodeJS/Express JS路由保护是通过认证、授权、输入验证、防止CSRF攻击和日志记录等方式来保护特定路由免受未经授权的访问。腾讯云提供的相关产品包括腾讯云身份认证服务（CAM）和访问管理（Cloud Access Management，CAM），用于实现认证和授权。其他方面的保护可以使用常见的Node.js库来实现。
相关·内容
我得到了一个401未经授权的响应。
我跟踪了文档
我目前正在为前端和后端开发本地主机：
前端(Gatsby版本2.31)：localhost:8001 <-使用"npm“
后端(Laravel版本8.26.1)：localhost:8000 <-使用的"php artisan serve“
下面是我的设置：
盖茨比：signup.js
import apiClient from "../utils/api";
const handleSubmit = (e) => {
e.preventDefault();
apiClient().
浏览 2提问于2021-02-05得票数 2
我有一个使用身份验证中间件的路由，它工作得很好。
Route::group(['prefix' => 'v1','middleware' => ['auth:api']], function()
{
Route::resource('user', 'v1\MyController');
});
问题是，我也希望此路由对未经身份验证的用户也可访问。使用上面的代码，我得到了一个401未授权的错误，并且我不能为未经认证的用户返回任何内容。那么，即使用户未通过身份验证，我如何对此路由进行身份
浏览 38提问于2016-09-20得票数 7
描述
我有一个表，在那里我用JavaScript从复选框中收集值。这个值应该发送到Laravel后端的受保护的API路由。我使用标准的Laravel设置(开箱即用)。
问题
我必须在JavaScript的post请求中发送什么来进行身份验证，我如何做到这一点？我可以在标头中添加一个标记或类似的东西吗？此刻我得到了报答：
“此行为未经授权”。
exception: "Symfony\\Component\\HttpKernel\\Exception\\AccessDeniedHttpException"
编辑
在我目前的研究中，api令牌似乎是一个简单的解决方案。但我不知道如何将
浏览 3提问于2020-05-03得票数 0
1回答
上下文
我目前正在开发一个可嵌入的小部件，类似于对讲机或Hotjar，并且需要对用户进行身份验证。到目前为止，我可以使用Firebase auth使用无密码身份验证，但是用户抱怨这是一个很大的摩擦过程，他们根本不愿意这么做。理想的身份验证解决方案是允许用户使用他们的Google或Facebook帐户，并通过OAuth2进行身份验证。
问题
如果用户认证的域没有在授权域列表中白名单中显示，则Firebase Auth限制通过第三方auth提供者进行身份验证。因此，如果用户将代码放在abc.com中，并试图通过Google拒绝它，因为abc.com不在白名单中。白名单每个客户的领域是不正统的。我觉
浏览 2提问于2020-11-02得票数 1
目前，我正在两个网站工作。一个网站(网站A)是一个简单的CMS，而另一个网站(网站B)是一个定期网站的用户，他们可以管理他们的个人资料等。用户可以浏览包在CMS。这些包是使用另一个站点(网站B)的AJAX请求接收的。这些包裹也可以买到。当用户购买一个包(网站A)，一个帖子请求被发送到另一个网站(网站B)。
因此，为了澄清，例如，我们有网站A和B。当网站A上的用户购买一个包时，一个帖子请求被发送到“b.com/ package / buys”。这个设计只有一个问题。在Laravel中，csrf令牌必须与每个表单一起发送。因为我对另一个网站做了一个帖子请求，所以我不能从网站A生成一个CSRF令牌，
浏览 0提问于2020-03-19得票数 1
我对PHP和Laravel非常陌生，我对插入到<form>中的<form>表示法有以下疑问。
在视图中，我有以下形式：
<form method="post" action="/registration">
<div class="form-group">
<label>Nome</label>
<div class="input-group">
<div class="input-group-a
浏览 7提问于2017-02-21得票数 2
回答已采纳
2回答
我是新的放大，我正在建立一个简单的清单项目(选票)与GraphQL。虽然可见性项应该是公共的(读取访问)而不需要身份验证，但是创建、更新和删除应该通过认知用户池进行身份验证。
模型可以在下面的AWS放大管理UI屏幕截图中看到：
我无法设置对Anyone的读访问权限(因为这个选项是灰色的)。此外，AWS文档中的以下语句让我有点困惑：
虽然API端点是可公开访问的，但它们从不允许未经授权的访问。
当我想在没有认证的情况下向公众发布带有的图形API时，我是不是走错了路？我是配置了API，还是有一种绕过身份验证的方法？，老实说，我不确定我是否理解这背后的概念。
对我来说，很难想象只
浏览 16提问于2021-03-22得票数 4
2回答
我的计划是在WebApi Core2.1中构建一些分离的.Net后端应用程序。我也想有一个大的前端应用程序(内置在角)，它将使用上述的微服务调用。
因此，在前端应用程序中，我将有一些模块:登录、MicroSrv1、MicroSrv2、.等
登录GUI将使用LoginApi。日志记录之后，我想显示MicroSrv1 GUI (连接到MicroSrv1 Api)、MicroSrv2 (连接到MicroSrv2 Api)等等。
我的想法是：
打开LoginGUI，单击登录
调用LoginApi在Azure中进行身份验证(使用JWT)，并下载用户数据和用户角色并返回到LoginGUI
在授
浏览 0提问于2018-07-24得票数 0
我已经创建了Azure函数应用程序python。我们有源系统指南，它调用这个Azure函数应用程序。我们计划增加安全级别的功能应用程序，以便任何系统连接到功能应用需要认证和授权。请告诉我如何启用它，以及如何执行身份验证/授权功能应用程序(Python)。
谢谢
浏览 8提问于2021-12-22得票数 0
2回答
揭开CSRF的神秘面纱？
、、、、
我已经阅读了很多和IIUC，支持攻击的核心是基于cookie的服务器会话标识。
因此，换句话说，如果浏览器(我在这里特别将范围缩小到web浏览器)没有使用基于cookie的会话密钥来标识服务器上的会话，那么CSRF攻击就不会发生。我理解得对吗？
例如，假设有人创建了如下链接：
href="http://notsosecurebank.com/transfer.do?acct=AttackerA&amount;=$100">Read more!
在登录到http://notsosecurebank.com时，您会被骗去点击这个链接，但是http://notsose
浏览 0提问于2017-11-05得票数 1
回答已采纳
我的问题:如何使用以Shibboleth作为身份验证机制的JWT令牌来保护Node？
我的应用程序流
我有一个AngularJS应用程序和一个后端节点JS应用程序。
AngularJS应用程序通过API在HTTP上公开，与后端应用程序进行通信。
现在，AngularJS应用程序中的身份验证是使用Shibboleth实现的，它运行得非常好。
在Shibboleth SSO中，用户正在通过IDP进行身份验证，因此在Login机制中我没有控制权。换句话说，国内流离失所者超出了我的控制范围。
一旦通过认证，Shibboleth就会将用户所需的数据返回给AngularJS应用程序。
浏览 0提问于2018-07-18得票数 6
1回答
我(为了我的一生)试图使用JWT令牌创建一个登录。我已经在这方面工作了好几天了，现在真的很困难。
这就是我目前所处的位置。
登录请求确认用户名和密码是正确的，创建一个json网络令牌，并将其附加到一个仅由http签名的cookie上。然后通过json将使用数据发送到前端。我可以从前端的json响应成功地访问用户数据。
const loginUser = async (req, res, next) => {
try {
const {username, password} = req.body
//grabbing user associated
浏览 1提问于2022-04-16得票数 0
我对CSRF攻击一无所知，但我知道在Laravel中，我们应该在表单中包含一个隐藏的CSRF令牌字段：
<form method="POST" action="/profile">
{{ csrf_field() }}
...
</form>
我们应该使用包含在表单中的method="GET“吗？
<form method="GET" action="/search">
{{ csrf_field() }}
...
</form>
例如，我有一
浏览 51提问于2017-03-10得票数 3
回答已采纳
我有一个Django站点，它使用Django的csrf令牌来防止csrf攻击。其中一个表单可以被公众访问，包括没有登录的人。
Csrf令牌应该提供对跨域请求的保护。
编辑：(引用我的评论)“但是，在不需要授权的情况下，CSRF并不比琐碎的垃圾邮件过滤器好(captcha在这里会做得更好)。事实上，在不需要认证的页面中添加csrf令牌(在30分钟后到期)应该是一种安全风险。”(但我的站点正在这样做，这就是为什么我首先发布了这个帖子)。
而且，在本例中，您可以在浏览器js控制台中获取该页面，通过一些特定的xpath获取csrf令牌，然后使用该csrf发布一些任意数据。此外，步骤容易复制，您可以为站
浏览 1提问于2012-06-09得票数 2
回答已采纳
2回答
遵循，我试图学习如何创建一个简单的后端身份验证node.js，护照和棱镜。
我想让登录到用户名中，但是我该怎么做呢？
我不确定我的问题是否使sense..so如果不清楚，请告诉我，我想解释一下。
我创建了一个服务来让所有的用户。
service.factory('Users', ['$http', function($http){
return {
get: function(){
return $http.get('/api/users');
}
浏览 0提问于2015-01-01得票数 2
因此，我想使用AngularJS和.NET Web编写一个SPA。我想要角来处理大部分的路由。但是，如何防止未经授权的用户(无论身份验证)获得某些视图？我想在后端这样做，而不涉及.NET MVC，因为MVC返回一个完整的视图，这违背了SPA的目的。根据我的理解，Web在将视图返回给客户端方面没有任何作用。如果这是正确的，那么在返回请求的视图时，Web和MVC中的授权在SPA中就会变得毫无用处。我考虑编写一些OWIN中间件来检查传入的AJAX调用的头，然后确定用户是否有权接收视图。但我不知道从哪里开始。如果编写私有中间件来处理授权是现实的，那么我从哪里开始呢？
这些看起来合理吗？或者我只是疯了，
浏览 5提问于2015-02-18得票数 3
回答已采纳
如今，new服务被大量使用，一种“新”类型的产品正在大行其道: API网关。该解决方案被发布到Internet上，接收来自外部各方和移动应用程序对the服务的请求，做一些安全性(身份验证、授权、一些产品进行输入验证、XML和JSON安全性等)。然后将请求传递给内部webservice。
在API网关中应该执行哪些安全控制，在web服务中应该执行哪些安全控制？
例如,
应在何处对投入进行验证？
认证？
授权？业务逻辑安全？
此外，今天有人问我，我们是否应该在DMZ和内部总线中设置web应用程序之间的API网关……我回答说，在这个场景中，所有需要的安全性都应该由web应用程序来执行，所以API不是
浏览 0提问于2016-09-03得票数 3
Laravel文件说：
Laravel自动为应用程序管理的每个活动用户会话生成CSRF“令牌”。此令牌用于验证经过身份验证的用户是实际向应用程序发出请求的人。由于此令牌存储在用户的会话中，并且每次重新生成会话时都会更改，因此恶意应用程序无法访问它。
Laravel session.php文件在默认情况下保证会话cookie生存期为120分钟：
'lifetime' => env('SESSION_LIFETIME', 120)
让我们想象一下，例如，我在Laravel应用程序中进行身份验证，并接收会话cookie。如果在认证后120分钟内，我将访问一个
浏览 4提问于2021-05-20得票数 0
回答已采纳
我创建了一个简单的程序(不处理任何个人数据，也不使用任何存储设施)，并在网站内为其实现了一个公共接口(使用HTML请求)。我不打算添加任何用户身份验证，我还在云运行容器中开源了代码。
我是否应该采取进一步的措施来保护容器免受恶意用户的攻击？有人能不能用请求过载应用程序，超过容器的自由调用限制(导致我自己被计费)？我主要是想确保我从来没有为云运行的应用程序收费，因为它只是作为一个小辅助工具的数量有限的用户。
谢谢。
浏览 1提问于2020-01-02得票数 5
回答已采纳
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
实时音视频
即时通信 IM
对象存储活动推荐
腾讯云开发者
