第一步

nest g 資源授權(quán)

這將進一步要求您進行選擇
? REST API
GraphQL（代碼優(yōu)先）
GraphQL（模式優(yōu)先）
微服務(wù)（非 HTTP）
WebSocket

選擇 REST API，這將為您生成帶有 dtos 服務(wù)控制器和模塊的整個模塊

注冊用戶

由于我們實施基于電子郵件/密碼的身份驗證作為第一步，我們將注冊用戶。

1. 首先驗證以確保數(shù)據(jù)合法，并添加密碼強度驗證以減輕暴力攻擊。
2. 之后進行消毒，以確保數(shù)據(jù)可以安全使用。
3. 檢查數(shù)據(jù)庫中是否已存在該用戶記錄，如果存在，則表示該用戶已經(jīng)擁有帳戶，因此請發(fā)送此電子郵件已注冊的回復(fù)。
4. 如果上述檢查失敗，則意味著我們需要注冊一個用戶 獲取用戶密碼并使用良好的哈希庫（如 bcrypt 或 argon2
）對其進行哈希處理
5. 散列后將用戶記錄插入數(shù)據(jù)庫。
6. 向用戶發(fā)送電子郵件以驗證電子郵件是否合法。
7. 為路由添加速率限制以避免 DDoS 攻擊

1 驗證傳入數(shù)據(jù)

由于 Nest js 與類驗證器等推薦的驗證包有很強的集成，但根據(jù)我之前的經(jīng)驗，我在 React JS 前端使用 zod 進行驗證，所以我發(fā)現(xiàn)了一個很棒的
Nest js 生態(tài)系統(tǒng)的解決方案稱為 Nests Zod，所以我現(xiàn)在更喜歡使用這個。首先安裝庫
npm 我 Nestjs-zod

import { createZodDto } from 'nestjs-zod';
import { z } from 'zod';
const passwordStrengthRegex =
  /^(?=.*[a-z])(?=.*[A-Z])(?=.*\d)(?=.*[@$!%*?&])[A-Za-z\d@$!%*?&]{8,}$/;
const registerUserSchema = z
  .object({
    email: z.string().email(),
    password: z
      .string()
      .min(8)
      .regex(
        passwordStrengthRegex,
        'Password must contain at least one uppercase letter, one lowercase letter, one number, and one special character',
      ),
    confirmPassword: z.string().min(8),
  })
  .refine((data) => data.password === data.confirmPassword, {
    message: 'Passwords do not match',
  });

export class RegisterUserDto extends createZodDto(registerUserSchema) {}

然后在路線上應(yīng)用驗證管道

import { Controller, Post, Body, Version, UsePipes } from '@nestjs/common';
import { AuthService } from './auth.service';
import { RegisterUserDto } from './dto/register.dto';
import { ZodValidationPipe } from 'nestjs-zod';

@Controller('auth')
export class AuthController {
  constructor(private readonly authService: AuthService) {}

  @Version('1')
  @Post()
  @UsePipes(ZodValidationPipe)
  async registerUser(@Body() registerUserDto: RegisterUserDto) {
    return await this.authService.registerUser(registerUserDto);
  }
}

如果我們提供的所有輸入均正確

這樣我們就完成了第一步

讓我們清理數(shù)據(jù)

我們有三個輸入

• 密碼：通常密碼不應(yīng)該被清理，因為它們永遠不會發(fā)送并顯示到前端，即使有人向密碼發(fā)送惡意腳本，最終它也會被散列，不需要
• 確認密碼：與上面的故事相同
• 電子郵件：是的，電子郵件會發(fā)送并呈現(xiàn)給客戶端，因此電子郵件字段必須進行清理以減輕注入和腳本攻擊

但是我們明確添加了電子郵件：z.string().email()，這對于這個用例來說已經(jīng)足夠了

但是為了增加額外的安全性，我們可以添加一個消毒層

import { createZodDto } from 'nestjs-zod';
import { z } from 'zod';
import * as xss from 'xss'; 

const passwordStrengthRegex =
  /^(?=.*[a-z])(?=.*[A-Z])(?=.*\d)(?=.*[@$!%*?&])[A-Za-z\d@$!%*?&]{8,}$/;

const registerUserSchema = z
  .object({
    email: z.string().transform((input) => xss.filterXSS(input)), // Sanitizing input using xss
    password: z
      .string()
      .min(8)
      .regex(
        passwordStrengthRegex,
        'Password must contain at least one uppercase letter, one lowercase letter, one number, and one special character',
      ),
    confirmPassword: z.string().min(8),
  })
  .refine((data) => data.password === data.confirmPassword, {
    message: 'Passwords do not match',
  });

export class RegisterUserDto extends createZodDto(registerUserSchema) {}

這是我們再次添加回來的測試

電子郵件：z
.string()
.email()

步驟3,4,5

import { createZodDto } from 'nestjs-zod';
import { z } from 'zod';
const passwordStrengthRegex =
  /^(?=.*[a-z])(?=.*[A-Z])(?=.*\d)(?=.*[@$!%*?&])[A-Za-z\d@$!%*?&]{8,}$/;
const registerUserSchema = z
  .object({
    email: z.string().email(),
    password: z
      .string()
      .min(8)
      .regex(
        passwordStrengthRegex,
        'Password must contain at least one uppercase letter, one lowercase letter, one number, and one special character',
      ),
    confirmPassword: z.string().min(8),
  })
  .refine((data) => data.password === data.confirmPassword, {
    message: 'Passwords do not match',
  });

export class RegisterUserDto extends createZodDto(registerUserSchema) {}

需要注意的要點我剛剛返回了一條成功消息，沒有相關(guān)數(shù)據(jù)
像 ID 或電子郵件一樣向用戶發(fā)送，因為在此步驟中不需要向用戶發(fā)送回數(shù)據(jù)。注冊后，用戶將被重定向到登錄頁面以填寫詳細信息，因此避免發(fā)送不必要的數(shù)據(jù)是一個很好的安全實踐

速率限制

在nestjs中實現(xiàn)速率限制非常簡單，只需安裝nestjs/throttler并進行全局配置即可。
要安裝包，請運行 npm i --save @nestjs/throttler

import { Controller, Post, Body, Version, UsePipes } from '@nestjs/common';
import { AuthService } from './auth.service';
import { RegisterUserDto } from './dto/register.dto';
import { ZodValidationPipe } from 'nestjs-zod';

@Controller('auth')
export class AuthController {
  constructor(private readonly authService: AuthService) {}

  @Version('1')
  @Post()
  @UsePipes(ZodValidationPipe)
  async registerUser(@Body() registerUserDto: RegisterUserDto) {
    return await this.authService.registerUser(registerUserDto);
  }
}

然后添加nestjsthrottleguard作為全局守衛(wèi)

import { createZodDto } from 'nestjs-zod';
import { z } from 'zod';
import * as xss from 'xss'; 

const passwordStrengthRegex =
  /^(?=.*[a-z])(?=.*[A-Z])(?=.*\d)(?=.*[@$!%*?&])[A-Za-z\d@$!%*?&]{8,}$/;

const registerUserSchema = z
  .object({
    email: z.string().transform((input) => xss.filterXSS(input)), // Sanitizing input using xss
    password: z
      .string()
      .min(8)
      .regex(
        passwordStrengthRegex,
        'Password must contain at least one uppercase letter, one lowercase letter, one number, and one special character',
      ),
    confirmPassword: z.string().min(8),
  })
  .refine((data) => data.password === data.confirmPassword, {
    message: 'Passwords do not match',
  });

export class RegisterUserDto extends createZodDto(registerUserSchema) {}

就是這里

import {
  BadRequestException,
  Injectable,
  InternalServerErrorException,
} from '@nestjs/common';
import { RegisterUserDto } from './dto/register.dto';
import { PrismaService } from 'src/prismaModule/prisma.service';
import * as argon2 from 'argon2';

@Injectable()
export class AuthService {
  constructor(private readonly prismaService: PrismaService) {}
  async registerUser(registerUserDto: RegisterUserDto) {
    // data is validate and sanitized by the registerUserDto
    const { email, password } = registerUserDto;

    try {
      // check if user already exists
      const user = await this.prismaService.user.findFirst({
        where: {
          email,
        },
      });

      if (user) {
        throw new BadRequestException('user already eists ');
      }
      //if use not exists lets hash user password
      const hashedPassword = await argon2.hash(registerUserDto.password);

      // time to create user
      const userData = await this.prismaService.user.create({
        data: {
          email,
          password: hashedPassword,
        },
      });

      if (!userData) {
        throw new InternalServerErrorException(
          'some thing went wrong while registring user',
        );
      }

      // if user is created successfully then  send email to user for email varification
      return {
        success: true,
        message: 'user created successfully',
      };
    } catch (error) {
      throw error;
    }
  }
}

因為注冊用戶端點是一個敏感端點暴力破解
否則可能會發(fā)生字典攻擊，我們嚴格限制速率

發(fā)送驗證郵件

用于向用戶發(fā)送驗證電子郵件的使用 Resend 是一項非常棒的易于使用的服務(wù)。但我決定為整個通知服務(wù)創(chuàng)建一個單獨的劇集，以便每個人都更容易理解它

以上是在 NestJS 中使用 Passport 實現(xiàn) JWT 身份驗證日（第 1 部分）的詳細內(nèi)容。更多信息請關(guān)注PHP中文網(wǎng)其他相關(guān)文章！