cognito express

Cognito-Express: аутентификация API с помощью AWS Congito

Краткое содержание

cognito-express аутентифицирует запросы API в приложении Node.js (работающем на сервере или в функции AWS Lambda), проверяя JWT-подпись AccessToken или IDToken , сгенерированную Amazon Cognito.

Мотивация

Этот модуль позволяет аутентифицировать запросы API Node.js путем проверки JWT-подписи AccessToken или IDToken — без необходимости вызывать Amazon Cognito для каждого вызова API.

Модуль можно легко и незаметно интегрировать в любое приложение или платформу, поддерживающую промежуточное программное обеспечение в стиле Connect, включая Express.

Этот модуль по существу объединяет шаги 1–7, перечисленные в официальной документации AWS по использованию токенов идентификатора и токенов доступа в ваших веб-API.

1. Загрузите и сохраните набор веб-токенов JSON (JWT) для своего пула пользователей.
2. Декодируйте строку токена в формат JWT.
3. Проверьте претензию iss . Он должен соответствовать вашему пулу пользователей.
4. Проверьте утверждение tokenUse . Он должен соответствовать вашим предпочтениям в отношении типов токенов access или id
5. Получите kid из заголовка токена JWT и получите соответствующий веб-ключ JSON, который был сохранен на шаге 1.
6. Проверьте подпись декодированного токена JWT.
7. Проверьте заявление об опыте и убедитесь, что срок действия токена не истек.

Теперь вы можете доверять утверждениям внутри токена и использовать его так, как он соответствует вашим требованиям.

Предварительные условия

После успешной аутентификации пользователя Amazon Cognito выдает клиенту три токена:

• идентификационный токен
• Токен доступа
• Обновить токен

(Примечание: механизм входа в систему не рассматривается в этом модуле, и вам придется создавать его отдельно)

Сохраните эти токены в клиентском приложении (желательно в виде файлов cookie). Когда какой-либо API вызывается из клиента, передайте AccessToken или IDToken на сервер.

То, как вы передаете AccessToken или IDToken , полностью зависит от вас. Вот два варианта:

1. Добавляя их явно в заголовки запросов.
2. Просто сохраните токены в виде файлов cookie. Таким образом, они прикрепляются к заголовкам запросов при каждом вызове API.

Конфигурация

 //Initializing CognitoExpress constructor
const cognitoExpress = new CognitoExpress ( {
	region : "us-east-1" ,
	cognitoUserPoolId : "us-east-1_dXlFef73t" ,
	tokenUse : "access" , //Possible Values: access | id
	tokenExpiration : 3600000 //Up to default expiration of 1 hour (3600000 ms)
} ) ; 

Использование

 cognitoExpress . validate ( accessTokenFromClient , function ( err , response ) {
	if ( err ) {
		/*
			//API is not authenticated, do something with the error.
		    //Perhaps redirect user back to the login page
			
			//ERROR TYPES:
			
			//If accessTokenFromClient is null or undefined
			err = {
			    "name": "TokenNotFound",
			    "message": "access token not found"
			}
			
			//If tokenuse doesn't match accessTokenFromClient
			{
			    "name": "InvalidTokenUse",
			    "message": "Not an id token"
			}

			//If token expired
			err = {
			    "name": "TokenExpiredError",
			    "message": "jwt expired",
			    "expiredAt": "2017-07-05T16:41:59.000Z"
			}

			//If token's user pool doesn't match the one defined in constructor
			{
			    "name": "InvalidUserPool",
			    "message": "access token is not from the defined user pool"
			}

		*/
	} else {
		//Else API has been authenticated. Proceed.
		res . locals . user = response ; //Optional - if you want to capture user information
		next ( ) ;
	}
} ) ;

Также поддерживает шаблон async/await.

 ( async function main ( ) {
  try {
    const response = await cognitoExpress . validate ( accessTokenFromClient ) ;
    console . log ( response ) ;
     //User is authenticated, proceed with rest of your business logic.

  } catch ( e ) {
    console . error ( e ) ;
     //User is not authenticated, do something with the error.
     //Perhaps redirect user back to the login page
  }
} ) ( ) ; 

Полный пример

app.js — сервер

 //app.js
"use strict" ;

const express = require ( "express" ) ,
	CognitoExpress = require ( "cognito-express" ) ,
	port = process . env . PORT || 8000 ;

const app = express ( ) ,
	authenticatedRoute = express . Router ( ) ; //I prefer creating a separate Router for authenticated requests

app . use ( "/api" , authenticatedRoute ) ;

//Initializing CognitoExpress constructor
const cognitoExpress = new CognitoExpress ( {
	region : "us-east-1" ,
	cognitoUserPoolId : "us-east-1_dXlFef73t" ,
	tokenUse : "access" , //Possible Values: access | id
	tokenExpiration : 3600000 //Up to default expiration of 1 hour (3600000 ms)
} ) ;

//Our middleware that authenticates all APIs under our 'authenticatedRoute' Router
authenticatedRoute . use ( function ( req , res , next ) {
	
	//I'm passing in the access token in header under key accessToken
	let accessTokenFromClient = req . headers . accesstoken ;

	//Fail if token not present in header. 
	if ( ! accessTokenFromClient ) return res . status ( 401 ) . send ( "Access Token missing from header" ) ;

	cognitoExpress . validate ( accessTokenFromClient , function ( err , response ) {
		
		//If API is not authenticated, Return 401 with error message. 
		if ( err ) return res . status ( 401 ) . send ( err ) ;
		
		//Else API has been authenticated. Proceed.
		res . locals . user = response ;
		next ( ) ;
	} ) ;
} ) ;


//Define your routes that need authentication check
authenticatedRoute . get ( "/myfirstapi" , function ( req , res , next ) {
	res . send ( `Hi ${ res . locals . user . username } , your API call is authenticated!` ) ;
} ) ;

app . listen ( port , function ( ) {
	console . log ( `Live on port: ${ port } !` ) ;
} ) ; 

client.js — пример Angular

 //client.js - angular example

"use strict" ;

//I stored my access token value returned from Cognito in a cookie called ClientAccessToken

app . controller ( "MyFirstAPI" , function ( $scope , $http , $cookies ) {
	$http ( {
		method : "GET" ,
		url : "/api/myfirstapi" ,
		headers : {
			accesstoken : $cookies . get ( "ClientAccessToken" ) 
            }
		}
	} ) . then (
		function success ( response ) {
			//Authenticated. Do something with the response. 
		} ,
		function error ( err ) {
			console . error ( err ) ;
		}
	) ;
} ) ; 

Авторы

Гэри Арора

Лицензия

Массачусетский технологический институт