第一步

nest g 資源授權(quán)

這將進(jìn)一步要求您進(jìn)行選擇
? REST API
GraphQL（代碼優(yōu)先）
GraphQL（模式優(yōu)先）
微服務(wù)（非 HTTP）
WebSocket

選擇 REST API，這將為您產(chǎn)生具有 dtos 服務(wù)控制器和模組的整個(gè)模組

註冊(cè)用戶

由於我們實(shí)施基於電子郵件/密碼的身份驗(yàn)證作為第一步，我們將註冊(cè)使用者。

1. 首先驗(yàn)證以確保資料合法，並添加密碼強(qiáng)度驗(yàn)證以減輕暴力攻擊。
2. 之後進(jìn)行消毒，以確保資料可以安全使用。
3. 檢查資料庫(kù)中是否已存在該使用者記錄，如果存在，則表示該使用者已經(jīng)擁有帳戶，因此請(qǐng)發(fā)送此電子郵件已註冊(cè)的回覆。
4. 如果上述檢查失敗，則表示我們需要註冊(cè)一個(gè)用戶 取得使用者密碼並使用良好的雜湊庫(kù)（如 bcrypt 或 argon2
）對(duì)其進(jìn)行雜湊處理
5. 散列後將使用者記錄插入資料庫(kù)。
6. 向使用者發(fā)送電子郵件以驗(yàn)證電子郵件是否合法。
7. 為路由新增速率限制以避免 DDoS 攻擊

1 驗(yàn)證傳入數(shù)據(jù)

由於 Nest js 與類驗(yàn)證器等推薦的驗(yàn)證包有很強(qiáng)的集成，但根據(jù)我之前的經(jīng)驗(yàn)，我在 React JS 前端使用 zod 進(jìn)行驗(yàn)證，所以我發(fā)現(xiàn)了一個(gè)很棒的
Nest js 生態(tài)系統(tǒng)的解決方案稱為 Nests Zod，所以我現(xiàn)在更喜歡使用這個(gè)。首先安裝庫(kù)
npm 我 Nestjs-zod

import { createZodDto } from 'nestjs-zod';
import { z } from 'zod';
const passwordStrengthRegex =
  /^(?=.*[a-z])(?=.*[A-Z])(?=.*\d)(?=.*[@$!%*?&])[A-Za-z\d@$!%*?&]{8,}$/;
const registerUserSchema = z
  .object({
    email: z.string().email(),
    password: z
      .string()
      .min(8)
      .regex(
        passwordStrengthRegex,
        'Password must contain at least one uppercase letter, one lowercase letter, one number, and one special character',
      ),
    confirmPassword: z.string().min(8),
  })
  .refine((data) => data.password === data.confirmPassword, {
    message: 'Passwords do not match',
  });

export class RegisterUserDto extends createZodDto(registerUserSchema) {}

然後在路線上應(yīng)用驗(yàn)證管道

import { Controller, Post, Body, Version, UsePipes } from '@nestjs/common';
import { AuthService } from './auth.service';
import { RegisterUserDto } from './dto/register.dto';
import { ZodValidationPipe } from 'nestjs-zod';

@Controller('auth')
export class AuthController {
  constructor(private readonly authService: AuthService) {}

  @Version('1')
  @Post()
  @UsePipes(ZodValidationPipe)
  async registerUser(@Body() registerUserDto: RegisterUserDto) {
    return await this.authService.registerUser(registerUserDto);
  }
}

如果我們提供的所有輸入都正確

這樣我們就完成了第一步

讓我們清理數(shù)據(jù)

我們有三個(gè)輸入

• 密碼：通常密碼不應(yīng)該被清理，因?yàn)樗鼈冇肋h(yuǎn)不會(huì)發(fā)送並顯示到前端，即使有人向密碼發(fā)送惡意腳本，最終它也會(huì)被散列，不需要
• 確認(rèn)密碼：與上面的故事相同
• 電子郵件：是的，電子郵件會(huì)傳送並呈現(xiàn)給客戶端，因此電子郵件欄位必須進(jìn)行清理以減輕注入和腳本攻擊

但是我們明確地添加了電子郵件：z.string().email()，這對(duì)於這個(gè)用例來(lái)說(shuō)已經(jīng)足夠了

但是為了增加額外的安全性，我們可以加入一個(gè)消毒層

import { createZodDto } from 'nestjs-zod';
import { z } from 'zod';
import * as xss from 'xss'; 

const passwordStrengthRegex =
  /^(?=.*[a-z])(?=.*[A-Z])(?=.*\d)(?=.*[@$!%*?&])[A-Za-z\d@$!%*?&]{8,}$/;

const registerUserSchema = z
  .object({
    email: z.string().transform((input) => xss.filterXSS(input)), // Sanitizing input using xss
    password: z
      .string()
      .min(8)
      .regex(
        passwordStrengthRegex,
        'Password must contain at least one uppercase letter, one lowercase letter, one number, and one special character',
      ),
    confirmPassword: z.string().min(8),
  })
  .refine((data) => data.password === data.confirmPassword, {
    message: 'Passwords do not match',
  });

export class RegisterUserDto extends createZodDto(registerUserSchema) {}

這是我們?cè)俅渭尤氲臏y(cè)試

電子郵件：z
.string()
.email()

步驟3,4,5

import { createZodDto } from 'nestjs-zod';
import { z } from 'zod';
const passwordStrengthRegex =
  /^(?=.*[a-z])(?=.*[A-Z])(?=.*\d)(?=.*[@$!%*?&])[A-Za-z\d@$!%*?&]{8,}$/;
const registerUserSchema = z
  .object({
    email: z.string().email(),
    password: z
      .string()
      .min(8)
      .regex(
        passwordStrengthRegex,
        'Password must contain at least one uppercase letter, one lowercase letter, one number, and one special character',
      ),
    confirmPassword: z.string().min(8),
  })
  .refine((data) => data.password === data.confirmPassword, {
    message: 'Passwords do not match',
  });

export class RegisterUserDto extends createZodDto(registerUserSchema) {}

需要注意的要點(diǎn)我剛剛回傳了一條成功訊息，沒(méi)有相關(guān)數(shù)據(jù)
像 ID 或電子郵件一樣向使用者傳送，因?yàn)樵诖瞬襟E中不需要向使用者傳送回資料。註冊(cè)後，用戶將被重定向到登錄頁(yè)面以填寫詳細(xì)信息，因此避免發(fā)送不必要的數(shù)據(jù)是一個(gè)很好的安全實(shí)踐

速率限制

在nestjs中實(shí)現(xiàn)速率限制非常簡(jiǎn)單，只需安裝nestjs/throttler並進(jìn)行全域配置即可。
要安裝套件，請(qǐng)執(zhí)行 npm i --save @nestjs/throttler

import { Controller, Post, Body, Version, UsePipes } from '@nestjs/common';
import { AuthService } from './auth.service';
import { RegisterUserDto } from './dto/register.dto';
import { ZodValidationPipe } from 'nestjs-zod';

@Controller('auth')
export class AuthController {
  constructor(private readonly authService: AuthService) {}

  @Version('1')
  @Post()
  @UsePipes(ZodValidationPipe)
  async registerUser(@Body() registerUserDto: RegisterUserDto) {
    return await this.authService.registerUser(registerUserDto);
  }
}

然後加入nestjsthrottleguard作為全域守衛(wèi)

import { createZodDto } from 'nestjs-zod';
import { z } from 'zod';
import * as xss from 'xss'; 

const passwordStrengthRegex =
  /^(?=.*[a-z])(?=.*[A-Z])(?=.*\d)(?=.*[@$!%*?&])[A-Za-z\d@$!%*?&]{8,}$/;

const registerUserSchema = z
  .object({
    email: z.string().transform((input) => xss.filterXSS(input)), // Sanitizing input using xss
    password: z
      .string()
      .min(8)
      .regex(
        passwordStrengthRegex,
        'Password must contain at least one uppercase letter, one lowercase letter, one number, and one special character',
      ),
    confirmPassword: z.string().min(8),
  })
  .refine((data) => data.password === data.confirmPassword, {
    message: 'Passwords do not match',
  });

export class RegisterUserDto extends createZodDto(registerUserSchema) {}

就是這裡

import {
  BadRequestException,
  Injectable,
  InternalServerErrorException,
} from '@nestjs/common';
import { RegisterUserDto } from './dto/register.dto';
import { PrismaService } from 'src/prismaModule/prisma.service';
import * as argon2 from 'argon2';

@Injectable()
export class AuthService {
  constructor(private readonly prismaService: PrismaService) {}
  async registerUser(registerUserDto: RegisterUserDto) {
    // data is validate and sanitized by the registerUserDto
    const { email, password } = registerUserDto;

    try {
      // check if user already exists
      const user = await this.prismaService.user.findFirst({
        where: {
          email,
        },
      });

      if (user) {
        throw new BadRequestException('user already eists ');
      }
      //if use not exists lets hash user password
      const hashedPassword = await argon2.hash(registerUserDto.password);

      // time to create user
      const userData = await this.prismaService.user.create({
        data: {
          email,
          password: hashedPassword,
        },
      });

      if (!userData) {
        throw new InternalServerErrorException(
          'some thing went wrong while registring user',
        );
      }

      // if user is created successfully then  send email to user for email varification
      return {
        success: true,
        message: 'user created successfully',
      };
    } catch (error) {
      throw error;
    }
  }
}

因?yàn)樵]冊(cè)用戶端點(diǎn)是一個(gè)敏感端點(diǎn)暴力破解
否則可能會(huì)發(fā)生字典攻擊，我們嚴(yán)格限制速率

發(fā)送驗(yàn)證郵件

用於向使用者發(fā)送驗(yàn)證電子郵件的使用 Resend 是一項(xiàng)非常棒的易於使用的服務(wù)。但我決定為整個(gè)通知服務(wù)創(chuàng)建一個(gè)單獨(dú)的劇集，以便每個(gè)人都更容易理解它

以上是在 NestJS 中使用 Passport 實(shí)作 JWT 驗(yàn)證日（第 1 部分）的詳細(xì)內(nèi)容。更多資訊請(qǐng)關(guān)注PHP中文網(wǎng)其他相關(guān)文章！