第一步

nest g 資源授權(quán)

這將進(jìn)一步要求您進(jìn)行選擇
? REST API
GraphQL（代碼優(yōu)先）
GraphQL（模式優(yōu)先）
微服務(wù)（非 HTTP）
WebSocket

選擇 REST API，這將為您生成帶有 dtos 服務(wù)控制器和模塊的整個(gè)模塊

注冊(cè)用戶

由于我們實(shí)施基于電子郵件/密碼的身份驗(yàn)證作為第一步，我們將注冊(cè)用戶。

1. 首先驗(yàn)證以確保數(shù)據(jù)合法，并添加密碼強(qiáng)度驗(yàn)證以減輕暴力攻擊。
2. 之后進(jìn)行消毒，以確保數(shù)據(jù)可以安全使用。
3. 檢查數(shù)據(jù)庫中是否已存在該用戶記錄，如果存在，則表示該用戶已經(jīng)擁有帳戶，因此請(qǐng)發(fā)送此電子郵件已注冊(cè)的回復(fù)。
4. 如果上述檢查失敗，則意味著我們需要注冊(cè)一個(gè)用戶 獲取用戶密碼并使用良好的哈希庫（如 bcrypt 或 argon2
）對(duì)其進(jìn)行哈希處理
5. 散列后將用戶記錄插入數(shù)據(jù)庫。
6. 向用戶發(fā)送電子郵件以驗(yàn)證電子郵件是否合法。
7. 為路由添加速率限制以避免 DDoS 攻擊

1 驗(yàn)證傳入數(shù)據(jù)

由于 Nest js 與類驗(yàn)證器等推薦的驗(yàn)證包有很強(qiáng)的集成，但根據(jù)我之前的經(jīng)驗(yàn)，我在 React JS 前端使用 zod 進(jìn)行驗(yàn)證，所以我發(fā)現(xiàn)了一個(gè)很棒的
Nest js 生態(tài)系統(tǒng)的解決方案稱為 Nests Zod，所以我現(xiàn)在更喜歡使用這個(gè)。首先安裝庫
npm 我 Nestjs-zod

import { createZodDto } from 'nestjs-zod';
import { z } from 'zod';
const passwordStrengthRegex =
  /^(?=.*[a-z])(?=.*[A-Z])(?=.*\d)(?=.*[@$!%*?&])[A-Za-z\d@$!%*?&]{8,}$/;
const registerUserSchema = z
  .object({
    email: z.string().email(),
    password: z
      .string()
      .min(8)
      .regex(
        passwordStrengthRegex,
        'Password must contain at least one uppercase letter, one lowercase letter, one number, and one special character',
      ),
    confirmPassword: z.string().min(8),
  })
  .refine((data) => data.password === data.confirmPassword, {
    message: 'Passwords do not match',
  });

export class RegisterUserDto extends createZodDto(registerUserSchema) {}

然后在路線上應(yīng)用驗(yàn)證管道

import { Controller, Post, Body, Version, UsePipes } from '@nestjs/common';
import { AuthService } from './auth.service';
import { RegisterUserDto } from './dto/register.dto';
import { ZodValidationPipe } from 'nestjs-zod';

@Controller('auth')
export class AuthController {
  constructor(private readonly authService: AuthService) {}

  @Version('1')
  @Post()
  @UsePipes(ZodValidationPipe)
  async registerUser(@Body() registerUserDto: RegisterUserDto) {
    return await this.authService.registerUser(registerUserDto);
  }
}

如果我們提供的所有輸入均正確

這樣我們就完成了第一步

讓我們清理數(shù)據(jù)

我們有三個(gè)輸入

• 密碼：通常密碼不應(yīng)該被清理，因?yàn)樗鼈冇肋h(yuǎn)不會(huì)發(fā)送并顯示到前端，即使有人向密碼發(fā)送惡意腳本，最終它也會(huì)被散列，不需要
• 確認(rèn)密碼：與上面的故事相同
• 電子郵件：是的，電子郵件會(huì)發(fā)送并呈現(xiàn)給客戶端，因此電子郵件字段必須進(jìn)行清理以減輕注入和腳本攻擊

但是我們明確添加了電子郵件：z.string().email()，這對(duì)于這個(gè)用例來說已經(jīng)足夠了

但是為了增加額外的安全性，我們可以添加一個(gè)消毒層

import { createZodDto } from 'nestjs-zod';
import { z } from 'zod';
import * as xss from 'xss'; 

const passwordStrengthRegex =
  /^(?=.*[a-z])(?=.*[A-Z])(?=.*\d)(?=.*[@$!%*?&])[A-Za-z\d@$!%*?&]{8,}$/;

const registerUserSchema = z
  .object({
    email: z.string().transform((input) => xss.filterXSS(input)), // Sanitizing input using xss
    password: z
      .string()
      .min(8)
      .regex(
        passwordStrengthRegex,
        'Password must contain at least one uppercase letter, one lowercase letter, one number, and one special character',
      ),
    confirmPassword: z.string().min(8),
  })
  .refine((data) => data.password === data.confirmPassword, {
    message: 'Passwords do not match',
  });

export class RegisterUserDto extends createZodDto(registerUserSchema) {}

這是我們?cè)俅翁砑踊貋淼臏y試

電子郵件：z
.string()
.email()

步驟3,4,5

import { createZodDto } from 'nestjs-zod';
import { z } from 'zod';
const passwordStrengthRegex =
  /^(?=.*[a-z])(?=.*[A-Z])(?=.*\d)(?=.*[@$!%*?&])[A-Za-z\d@$!%*?&]{8,}$/;
const registerUserSchema = z
  .object({
    email: z.string().email(),
    password: z
      .string()
      .min(8)
      .regex(
        passwordStrengthRegex,
        'Password must contain at least one uppercase letter, one lowercase letter, one number, and one special character',
      ),
    confirmPassword: z.string().min(8),
  })
  .refine((data) => data.password === data.confirmPassword, {
    message: 'Passwords do not match',
  });

export class RegisterUserDto extends createZodDto(registerUserSchema) {}

需要注意的要點(diǎn)我剛剛返回了一條成功消息，沒有相關(guān)數(shù)據(jù)
像 ID 或電子郵件一樣向用戶發(fā)送，因?yàn)樵诖瞬襟E中不需要向用戶發(fā)送回?cái)?shù)據(jù)。注冊(cè)后，用戶將被重定向到登錄頁面以填寫詳細(xì)信息，因此避免發(fā)送不必要的數(shù)據(jù)是一個(gè)很好的安全實(shí)踐

速率限制

在nestjs中實(shí)現(xiàn)速率限制非常簡單，只需安裝nestjs/throttler并進(jìn)行全局配置即可。
要安裝包，請(qǐng)運(yùn)行 npm i --save @nestjs/throttler

import { Controller, Post, Body, Version, UsePipes } from '@nestjs/common';
import { AuthService } from './auth.service';
import { RegisterUserDto } from './dto/register.dto';
import { ZodValidationPipe } from 'nestjs-zod';

@Controller('auth')
export class AuthController {
  constructor(private readonly authService: AuthService) {}

  @Version('1')
  @Post()
  @UsePipes(ZodValidationPipe)
  async registerUser(@Body() registerUserDto: RegisterUserDto) {
    return await this.authService.registerUser(registerUserDto);
  }
}

然后添加nestjsthrottleguard作為全局守衛(wèi)

import { createZodDto } from 'nestjs-zod';
import { z } from 'zod';
import * as xss from 'xss'; 

const passwordStrengthRegex =
  /^(?=.*[a-z])(?=.*[A-Z])(?=.*\d)(?=.*[@$!%*?&])[A-Za-z\d@$!%*?&]{8,}$/;

const registerUserSchema = z
  .object({
    email: z.string().transform((input) => xss.filterXSS(input)), // Sanitizing input using xss
    password: z
      .string()
      .min(8)
      .regex(
        passwordStrengthRegex,
        'Password must contain at least one uppercase letter, one lowercase letter, one number, and one special character',
      ),
    confirmPassword: z.string().min(8),
  })
  .refine((data) => data.password === data.confirmPassword, {
    message: 'Passwords do not match',
  });

export class RegisterUserDto extends createZodDto(registerUserSchema) {}

就是這里

import {
  BadRequestException,
  Injectable,
  InternalServerErrorException,
} from '@nestjs/common';
import { RegisterUserDto } from './dto/register.dto';
import { PrismaService } from 'src/prismaModule/prisma.service';
import * as argon2 from 'argon2';

@Injectable()
export class AuthService {
  constructor(private readonly prismaService: PrismaService) {}
  async registerUser(registerUserDto: RegisterUserDto) {
    // data is validate and sanitized by the registerUserDto
    const { email, password } = registerUserDto;

    try {
      // check if user already exists
      const user = await this.prismaService.user.findFirst({
        where: {
          email,
        },
      });

      if (user) {
        throw new BadRequestException('user already eists ');
      }
      //if use not exists lets hash user password
      const hashedPassword = await argon2.hash(registerUserDto.password);

      // time to create user
      const userData = await this.prismaService.user.create({
        data: {
          email,
          password: hashedPassword,
        },
      });

      if (!userData) {
        throw new InternalServerErrorException(
          'some thing went wrong while registring user',
        );
      }

      // if user is created successfully then  send email to user for email varification
      return {
        success: true,
        message: 'user created successfully',
      };
    } catch (error) {
      throw error;
    }
  }
}

因?yàn)樽?cè)用戶端點(diǎn)是一個(gè)敏感端點(diǎn)暴力破解
否則可能會(huì)發(fā)生字典攻擊，我們嚴(yán)格限制速率

發(fā)送驗(yàn)證郵件

用于向用戶發(fā)送驗(yàn)證電子郵件的使用 Resend 是一項(xiàng)非常棒的易于使用的服務(wù)。但我決定為整個(gè)通知服務(wù)創(chuàng)建一個(gè)單獨(dú)的劇集，以便每個(gè)人都更容易理解它

以上是在 NestJS 中使用 Passport 實(shí)現(xiàn) JWT 身份驗(yàn)證日（第 1 部分）的詳細(xì)內(nèi)容。更多信息請(qǐng)關(guān)注PHP中文網(wǎng)其他相關(guān)文章！