Ответ 1

Я бы использовал аутентификацию на основе токенов, где вы можете отправить токен (автоматически) с каждым запросом. Вам нужно будет войти в систему один раз, сервер предоставит вам токен, который вы можете использовать для отправки с каждым запросом. Этот токен будет добавлен в заголовок HTML, так что вам не нужно изменять каждый запрос в браузере.

Вы можете установить определенные вызовы в API, чтобы они всегда нуждались в токене, в то время как другие могут не быть защищенными токеном.

Для Express вы можете использовать express-jwt (https://www.npmjs.org/package/express-jwt)

var expressJwt = require('express-jwt');

// Protect the /api routes with JWT
app.use('/api', expressJwt({secret: secret}));

app.use(express.json());
app.use(express.urlencoded());

Если вы хотите выполнить аутентификацию, вы можете создать эту функцию на своем экспресс-сервере:

app.post('/authenticate', function (req, res) {
  //if is invalid, return 401
  if (!(req.body.username === 'john.doe' && req.body.password === 'foobar')) {
    res.send(401, 'Wrong user or password');
    return;
  }

  var profile = {
    first_name: 'John',
    last_name: 'Doe',
    email: '[email protected]',
    id: 123
  };

  // We are sending the profile inside the token
  var token = jwt.sign(profile, secret, { expiresInMinutes: 60*5 });

  res.json({ token: token });
});

И для защищенных вызовов что-то, что начинается с /api:

app.get('/api/restricted', function (req, res) {
  console.log('user ' + req.user.email + ' is calling /api/restricted');
  res.json({
    name: 'foo'
  });
});

В вашем приложении Angular вы можете войти с помощью:

$http
      .post('/authenticate', $scope.user)
      .success(function (data, status, headers, config) {
        $window.sessionStorage.token = data.token;
        $scope.message = 'Welcome';
      })
      .error(function (data, status, headers, config) {
        // Erase the token if the user fails to log in
        delete $window.sessionStorage.token;

        // Handle login errors here
        $scope.message = 'Error: Invalid user or password';
      });

И создав аутентификационный перехватчик, он автоматически отправит токен с каждым запросом:

myApp.factory('authInterceptor', function ($rootScope, $q, $window) {
  return {
    request: function (config) {
      config.headers = config.headers || {};
      if ($window.sessionStorage.token) {
        config.headers.Authorization = 'Bearer ' + $window.sessionStorage.token;
      }
      return config;
    },
    response: function (response) {
      if (response.status === 401) {
        // handle the case where the user is not authenticated
      }
      return response || $q.when(response);
    }
  };
});

myApp.config(function ($httpProvider) {
  $httpProvider.interceptors.push('authInterceptor');
});

Если вам нужно поддерживать старые браузеры, которые не поддерживают локальное хранилище. Вы можете поменять $window.sessionStorage на библиотеку, такую ​​как AmplifyJS (http://amplifyjs.com/). Например, Amplify использует любое местное хранилище. Это будет означать что-то вроде этого:

    if (data.status === 'OK') {
      //Save the data using Amplify.js
      localStorage.save('sessionToken', data.token);
      //This doesn't work on the file protocol or on some older browsers
      //$window.sessionStorage.token = data.token;
      $location.path('/pep');
    }
  }).error(function (error) {
    // Erase the token if the user fails to log in
    localStorage.save('sessionToken', null);
    // Handle login errors here
    $scope.message = 'Error: Invalid user or password';
  });

И authintercepter мы поменяем:

angular.module('myApp.authInterceptor', ['myApp.localStorage']).factory('authInterceptor', [
  '$rootScope',
  '$q',
  'localStorage',
  function ($rootScope, $q, localStorage) {
    return {
      request: function (config) {
        config.headers = config.headers || {};
        config.headers.Authorization = 'Bearer ' + localStorage.retrieve('sessionToken');
        return config;
      },
      response: function (response) {
        if (response.status === 401) {
        }
        return response || $q.when(response);
      }
    };
  }
]);

В этой статье вы можете найти все, кроме AmplifyJS:

http://blog.auth0.com/2014/01/07/angularjs-authentication-with-cookies-vs-token/

Ответ 2

Посмотрите на генератор йома для angular и node? Генератор-angular -полная стадия имеет очень приятную структуру для аутентификации пользователя с использованием паспорта.

Здесь вы можете увидеть пример:

код: https://github.com/DaftMonk/fullstack-demo

Результат: http://fullstack-demo.herokuapp.com/

Надеюсь, что это поможет!

Ответ 3

Я использую generator- angular -fullstack, службы /api не защищены, получите ваш _id из /api/users/me, logout и перейдите в /api/users/your _id_here, вы поймете, что /api не защищены.