Node.jsのAPIルートを保護する

Question

Node.js APIにMongoDBデータベースからAngular 4フロントエンドにデータを送信するいくつかのルートがあります。

例：

Node.jsのルート：

router.get('/api/articles', (req, res) => { 
    Article.find({}, (err, articles) => { 
     if(err) return res.status(500).send("Something went wrong"); 
     res.status(200).send(articles); 
    }); 
}); 

角4サービス機能：

getArticles() { 
    return this.http.get('http://localhost:3000/api/articles') 
    .map(res => res.json()).subscribe(res => this.articles = res); 
} 

の質問はどのように私は私のNode.jsを守るか、ありますブラウザアクセスからのAPIルート？私がhttp://localhost:3000/api/articlesに行くと、私はすべての記事をjson形式で見ることができます。

Answer 1

アングルアプリがあなたによって制御されている場合、X-Requested-With:XMLHttpRequestのような特殊なヘッダーを送信します（クロムはデフォルトでAJAX呼び出しのために送信します）。このヘッダーの存在を確認する前に応答してください。

特殊なケースにエンドポイントを公開することが特に重要な場合は、一意のヘッダーをX-Request-App: MyNgAppに設定してフィルタリングしてください。

Answer 2

何らかの認証を実装しない限り、実際には使用できません。つまり、角形ユーザーがAPIにサインインする必要があります。

あなたはです。はそれほど便利ではありません。たとえば、GETリクエストではなく、POSTリクエストを受け入れるようにルートを切り替えるだけで、ブラウザは簡単に表示されなくなります。それはまだdevのツールやカールに表示されます。

また、エクスプレスハンドラで探している角度要求でヘッダを設定することもできますが、これはセキュリティの外観のみに多くの作業があるようです。

Answer 3

ベスト・メソッドは、認証トークン・システムを実装することです。静的トークンを使用して開始することができます（後で、許可付きで動的トークンを実装できます）。

トークンは、要求が確実に認証される文字列です。

Node.jsのルート：

router.get('/api/articles', (req, res) => { 
    let token = url.parse(req.url,true).query.token; //Parse GET param from URL 
    if("mytoken" == token){   // Validate Token 
     Article.find({}, (err, articles) => { 
     if(err) return res.status(500).send("Something went wrong"); 
     res.status(200).send(articles); 
     }); 
    }else { 
     res.status(401).send("Error:Invalid Token"); //Send Error message 
    } 

}); 

角4サービス機能：エクスプレスで

getArticles() { 
    return this.http.get('http://localhost:3000/api/articles?token=mytoken') // Add token when making call 
    .map(res => res.json()).subscribe(res => this.articles = res); 
} 

Answer 4

、あなたのエンドポイントへのアクセスを許可または拒否するためにルートハンドラを使用することができます。この方法はPassport認証ミドルウェアで使用されています（これは、これで使用できます）。

function isAccessGranted (req, res, next) { 
    // Here your authorization logic (jwt, OAuth, custom connection logic...) 
    if (!isGranted) return res.status(401).end() 
    next() 
} 

router.get('/api/articles', isAccessGranted, (req, res) => { 
    //... 
}) 

またはすべてのあなたのルートのため、それはより一般的な作り：

app.use('*', isAccessGranted)