5 feat 8 autententicação do usuario

[ItzTas]

#5 middleware de autenticação de usuario

[ed-henrique]

Acredito que aplicando as modificações propostas e melhorando as mensagens de erro retornadas ao usuário, esse middleware vai ficar pronto.

[ed-henrique]

Deveria haver uma condição checando se o JWT_SECRET que foi obtido não é vazio, porque isto poderia causar inconsistências com os tokens já existentes para os usuários. Exemplo:

if (!JWT_SECRET) {
  // Abortar execução do servidor ou obter o valor de JWT_SECRET de outra fonte
}

[ed-henrique]

O parâmetro options para decodificar o JWT não é interessante nesse caso, pois permite que haja mudanças por desenvolvedores futuros em padrões essenciais que invalidariam os tokens de usuário já existentes e funcionais, como:

• algorithms
• ignoreExpiration
• maxAge
• allowInvalidAsymmetricKeyTypes

No geral, se tratando de um middleware de autenticação, o recomendado é que essas opções sejam definidas como uma constante que não deve ser alterada, ou que a função decodeJWT seja encapsulada antes de ser exportada, para que não seja possível alterar as opções por outro módulo que não seja o de middleware. Exemplo:

const defaultOptions = {
  // Defina as opções padrão aqui
}

function decodeJWT(token) {
  try {
    return jwt.verify(token, JWT_SECRET, defaultOptions);
  } catch (err) {
    // Tratamento de erros
  }
}

ou

function decodeJWTPadrao(token) {
  return decodeJWT(token, {
    // Insira as opções desejadas aqui
  });
}

// ...

export { decodeJWTPadrao, ... }

[ed-henrique]

Essa condição poderia verificar se o tamanho de headerDiv é maior que 2, o que indicaria um token JWT corrupto, provavelmente. Isso poderia ser feito dessa forma:

if (headerDiv[0] != 'Bearer' || headerDiv.length !== 2) {
  // Lógica
}

[ed-henrique]

Mesma questão do decodeJWT. O parâmetro options deve ser uma constante ou a função deve ser encapsulada.

[ItzTas]

fiz assim o sign pra eu poder colocar o tempo de expiração como 1ms no teste

[ed-henrique]

Talvez fazendo de uma forma parecida à descrita aqui. Basicamente, deixa o que é pra ser exportado para testes com um nome bem explícito que é para testes, tipo testSignJWT, não deixando brecha para que os desenvolvedores se confundam no futuro.

Sinceramente, eu não gosto muito dessa abordagem, até porque em Go eu só colocaria os testes dentro do mesmo pacote do código sem exportar o que é pra ser interno. Mas anyways, a gente lida com o que a gente tem.

[ed-henrique]

Moment.js é uma biblioteca legada, que apenas recebe atualizações corretivas. Não há necessidade para sua utilização, dado que é possível utilizar os métodos de Date para alcançar o mesmo resultado.

Consultar estado da biblioteca

[ed-henrique]

Essa linha fica muito obscura pra quem não mexe com JavaScript direto. Talvez fosse mais interessante fazer algo assim:

return JSON.stringify(obj, NULL_KEYS_VALUE, SPACE_IDENTATION);

Dessa forma, mesmo alguém que não tenha familiaridade com os parâmetros da função JSON.stringify entenderia rapidamente.

[ed-henrique]

Alterar para:

let result = await pool.query('SELECT * FROM users WHERE id = $1', [id]);

Cuidado com os nomes das variáveis para não confundir futuros desenvolvedores.

[ed-henrique]

É interessante que haja uma condição checando se mais de um usuário foi encontrado com aquele ID, e em caso positivo, realizar um log e devolver um erro 5xx. Exemplo:

if (result.rows.lenght > 1) {
  console.log(`ERROR: Mais de um usuário foi encontrado com o id ${id}`);
  return res.status(500).json({ error: 'Houve um erro no banco de dados ao autenticar o usuário' });
}

É raro de acontecer esse tipo de situação, e ela geralmente é associada a modificação diretamente via banco de dados ao invés do uso da aplicação, mas é importante manter em mente que isso pode acontecer.

[ed-henrique]

Muito cuidado com esse tipo de limpeza após os testes. Apenas realize esse tipo de operação se houver certeza que o banco utilizado é o de testes. Ainda mais porque esse middleware não lida com a criação de novos usuários, apenas leitura dos já existentes.

[ed-henrique]

Remoção da biblioteca legado Moment.js.

[ed-henrique]

Ok.

Só manter em mente que essa API vai servir algum usuário ou desenvolvedor frontend, geralmente. Isso significa que erros mais descritivos são preferíveis, como O token JWT passado foi inválido ao invés de invalido.

Além disso, o servidor não faz nada se o banco de dados não estiver conectado a ele. Por isso, ferramentas como as descritas aqui na documentação do pacote pg são úteis para saber se o servidor deve ser parado.