exress-jwtによるロールベースの認可？

Question

私はAPIエンドポイントを保護するためにexpress-jwtを使用しており、認証されたユーザーだけが自分のAPIにアクセスできるようにしています。今私はまた、ユーザーの役割にも基づいて自分のAPIを保護したい。たとえば、ユーザーが管理者である場合はいくつかのAPIにアクセスし、スーパー管理者であればアクセスすることができます。これをどのように達成できますか？このコードはAPIコントローラ機能で認証を行っているように見えます

app.get('/protected', 
    jwt({secret: 'shhhhhhared-secret'}), 
    function(req, res) { 
    if (!req.user.admin) return res.sendStatus(401); 
    res.sendStatus(200); 
    }); 

：私は急行-JWT githubのドキュメントで、このコードスニペットを見つけました。それは唯一の推奨方法ですか？これを行うためのより良い方法はありますか？これに関するベストプラクティスに関するアドバイスはありますか？

Answer 1

これは唯一の推奨方法ですか？

かなりそうです。

これは「コントローラ機能」ではありません。これは、ミドルウェアの例であり、この場合に使用したいものです。

より完全な例は次のようになります。

var router = new express.Router(); 

// process jwt stuff 
var processjwt = jwt({secret: 'shhhhhhared-secret'}); 

// authorization check 
function authorizationCheck(req, res, next) { 
    if (!req.user.admin) { 
    return res.sendStatus(401); 
    } else { 
    // move to the next middleware, cause it's ok 
    next(); 
    } 
} 

// the real route handler 
function myRouteHandler(req, res){ 
    doSomeWork(function(err, data){ 
    if (err) { return next(err); } 
    res.json(data); 
    }); 
} 

// put it all together 
router.use("/protected", processjwt, authorizationCheck); 
router.get("/protected", myRouteHandler); 

を使用することができ、このセットアップのバリエーションの数十がありますが、これは全体のアイデアを取得します。