节点中的用户角色和基于权限的访问。js

Question

我已经开发了应用程序在Node.js.我使用序列化MSSQL和我已经创建了API的我正在消耗API的角。

我想知道的是关于安全性的事情：我已经实现了JWT的身份验证。现在我想实现角色权限管理我的要求是：

1. 一个用户可以有多个角色（管理员、管理员）
2. 角色可以具有多个权限（创建、更新等）

因此，一个用户可以拥有一个或多个角色，一个角色可以拥有一个或多个权限。权限类似于创建记录、删除记录等。用户可以访问他拥有权限的API。

是否有NPM的任何包或任何其他建议？

到目前为止我发现了这个：用户-组-角色https://www.npmjs.com/package/user-groups-roles

Answer 1

首先，您需要创建包括角色在内的用户模型。userModel.js

const mongoose=require('mongoose');
const validator=require('validator');
const userSchema=new mongoose.Schema({
    name:{
        type:String,
        required:[true,'Please tell us your name ']
    },
    email:{
        type:String,
        required:[true,'Please provide your mail'],
        unique:true,
        lowercase:true,
        validate:[validator.isEmail,'Please provide valid email'],
    },
role:{
        type:String,
        enum:['user','guide','admin'],
        default:'user'
    },
})
const User=mongoose.model('User',userSchema);
module.exports=User;

您可以将此代码用于角色验证。（authController.js）

exports.restictTo=(...roles)=>{
    return(req,res,next) =>{
        //role ['admin','guide'].role=user
      if(!roles.includes(req.user.role)){
          return next(consloe.log('You do not have permission to perform this action',403));
      }
      next();
    }
}

最后，您可以在路由authRoute中调用restictTo函数。js

    const express=require('express');

    const authController=require('./../controllers/authController')
    const router=express.Router();
    router.route('/').get(authController.protect,authController.restictTo('admin'),userController.getalluser);
module.exports=router;

Answer 2

您只需在db中创建新表，例如“用户角色”，传递您想要的角色，然后将用户与您想要的角色连接起来。然后在服务器上，您应该创建中间件，检查用户是否有权访问特定endpoint，若并没有，则抛出401/403。