保护我的 Node.js 应用程序的 REST API？

为了增加安全性/复杂性：

基本 HTTP 身份验证

许多 API 库将允许您在其中构建它（例如 Django 中的活塞），或者您可以让您的网络服务器处理它。 Nginx 和 Apache 都可以使用服务器指令通过简单的 b64 编码密码来保护站点。这不是世界上最安全的东西，但它至少是一个用户名和密码！

如果你使用 Nginx，你可以像这样在你的主机配置中添加一个部分：

auth_basic "Restricted";
auth_basic_user_file /path/to/htpasswd;

（把它放在你的 location / 块中）

文档：http://wiki.nginx.org/HttpAuthBasicModule

您需要获取 python 脚本来生成该密码并将输出放入文件中：http://trac.edgewall.org/browser/trunk/contrib/htpasswd.py?format=txt

只要 Nginx 可以访问文件，文件的位置就无关紧要了。

HTTPS

保护从服务器到应用程序的连接，这是最基本的，可以防止中间人攻击。

您可以使用 Nginx 执行此操作，它的文档非常全面：http://wiki.nginx.org/HttpSslModule

一个自签名证书就可以了（而且免费！）。

API 密钥

这些可以是您喜欢的任何格式，但如果您需要，它们可以为您提供撤销访问权限的好处。如果您正在开发连接的两端，则可能不是您的完美解决方案。当您有第三方使用 API（例如 Github）时，往往会使用它们。

身份验证

OAuth 2.0 是这里的首选。虽然我不知道该规范的基本工作原理，但它是现在大多数身份验证（Twitter、Facebook、Google 等）的事实上的标准，并且有大量的库和文档可以帮助您实现这些。话虽如此，它通常用于通过要求第三方服务进行身份验证来对用户进行身份验证。

鉴于您在两端都进行开发，将您的 API 放在 Basic HTTP Auth 之后并通过 HTTPS 提供服务可能就足够了，特别是如果您不想浪费时间搞乱 OAuth。

---

这是一种不同的思考方式：

让我们暂时假设您没有使用 API。您的用户登录到应用程序，提供一些凭据，然后您向用户提供 cookie 或某种类似的令牌，用于识别该用户已登录。然后用户请求包含受限信息的页面（或创建/修改/删除它），因此您检查此令牌以确保允许用户查看该信息。

现在，在我看来，您在这里唯一要改变的是信息传递的方式。您不是以呈现的 HTML 形式提供信息，而是以 JSON 形式返回信息并在客户端呈现它。您对服务器的 AJAX 请求将携带与以前相同的登录令牌，因此我建议只检查该令牌，并以相同的方式将信息限制为“允许用户知道的内容”。

您的 API 现在与您的登录一样安全 - 如果有人知道访问 api 所需的令牌，他们也将登录到该站点并访问所有信息。最好的一点是，如果您已经实现了登录，那么您实际上不必再做任何工作。

OAuth 等系统的重点是提供这种“登录”方法，通常来自第三方应用程序并作为开发人员。对于 iPhone 应用程序或类似应用程序来说，这可能是一个很好的解决方案，但那是在未来。 API 接受一种以上的身份验证方法并没有错！

---

到目前为止的答案在解释方面做得很好，但没有给出任何实际步骤。我遇到了这篇博客文章，其中详细介绍了如何使用 Node + Passport 安全地创建和管理令牌。

http://aleksandrov.ws/2013/09/12/restful-api-with-nodejs-plus-mongodb/

---

适用于保护任何 Web 应用程序的提示

如果您想保护您的应用程序，那么您绝对应该从使用 HTTPS 而不是 HTTP 开始，这可以确保在您和用户之间创建安全通道，防止嗅探来回发送给用户的数据并有助于保留数据交换机密。

您可以使用 JWT（JSON Web Tokens）来保护 RESTful API，与服务器端会话相比，这有很多好处，好处主要是：

1- 更具可扩展性，因为您的 API 服务器不必为每个用户维护会话（当您有很多会话时，这可能是一个很大的负担）

2- JWT 是自包含的，并且具有定义用户角色的声明，例如，他可以访问和在日期和到期日发布的内容（在此之后 JWT 将无效）

3-更容易跨负载均衡器处理，如果您有多个 API 服务器，因为您不必共享会话数据，也不必配置服务器以将会话路由到同一服务器，只要带有 JWT 的请求命中任何服务器，就可以对其进行身份验证&授权

4-减少对数据库的压力，并且您不必为每个请求不断存储和检索会话 ID 和数据

5-如果您使用强密钥签署 JWT，则 JWT 不会被篡改，因此您可以信任随请求发送的 JWT 中的声明，而无需检查用户会话以及他是否被授权，您只需检查 JWT 就可以知道该用户可以做什么和做什么。

用于实现 JWT 的 Node.js 特定库：

许多库提供了简单的方法来创建 &验证 JWT，例如：在 node.js 中，最流行的一种是 jsonwebtoken，同样用于验证 JWT，您可以使用相同的库或使用 express-jwt 或 koa-jwt（如果您使用的是 express/koa）

由于 REST API 通常旨在保持服务器无状态，因此 JWT 与该概念更兼容，因为每个请求都使用自包含的授权令牌 (JWT) 发送，与使服务器是有状态的，因此它可以记住用户及其角色，但是，会话也被广泛使用并具有其优点，您可以根据需要进行搜索。

需要注意的一件重要事情是，您必须使用 HTTPS 将 JWT 安全地交付给客户端并将其保存在安全的地方（例如本地存储中）。

您可以了解有关 JWT 的更多信息from this link

---