PassportJS身份验证和mongodb数据库收集最佳实践？

Question

我在一个项目中工作，实际上是第一次使用nodejs，express和mongodb。 对于身份验证，我使用的是password.js，它看起来非常灵活并且易于集成。

我真的很喜欢序列化和反序列化的想法，但是我担心的是始终处于ON状态且可用于每个请求的用户对象。

我的项目涉及订阅，用户个人资料，以及一个小的打勾系统。 因此，我的用户架构包含用户凭据，用户信息（例如地址，电话，电子邮件）以及有关订阅的信息。 其中一些信息是具有相同架构的嵌入式文档。 似乎很奇怪，即使我不需要这些信息总是准备就绪，甚至bcrypt密码始终在请求调用中。

我的问题是，您认为最佳实践是将用户凭证与用户对象分开并进行关联处理，以便在我需要使用常规控制器模型方式进行调用时可以调用用户信息吗？

提前致谢

Answer 1

如果您指的是会话，那么您实际上应该只发送带有请求的一小部分数据，例如用户ID。 整个用户文档不应遍历每个请求。

Answer 2

通常的做法是将用户凭据与其余用户数据分开，因为凭据需要以非常安全的方式存储-如此之多，以至于它决定了不同的基础架构。

我在Stormpath工作，我们提供这项服务。 我们为您存储密码，并且加密级别很高。 我们具有Express的强大集成，您可以在此处查看：

https://github.com/stormpath/stormpath-express