检查RESTful API中的用户权限

Question

我正在使用NodeJS，Express，MongoDB开发SaaS API。 它已经实现了JWT身份验证/安全性方法。

就我个人而言，我目前有两个集合：用户和客户端。

您可以查看每个集合具有的字段（用于定义目的）。 因此，就端点设计而言，我正在使用一种完全宁静的方法，因此：

• / api / users / {userId} / clients：插入客户端，即

这正是我要传达的要点，即在发布新客户以检查价格计划是否允许用户这样做之前。 在逻辑上：

function post(req,res){
    // Check if the JWT user.id is the same of the endpoint request
    if(req.user._id == req.params.id){ 
       // Here I want to know which is the price plan and to count the Clients that the user has

   }
}

就我的怀疑而言，我已经考虑了一些假设，但我真的不知道哪个是最好的：

• 在User集合中进行查询以获取价格计划，在Clients集合中进行查询计数，然后验证并发布新的Client。
• 将用户的价格计划信息放入JWT，对用户的“客户”集合进行查询计数验证，然后发布新的“客户”。

这是我考虑过的两个可能的主要解决方案，但是我对安全性和性能方面的严重怀疑（我应该实施/遵循的解决方案）。

先感谢您。

Answer 1

我也有同样的疑问。 同样，如果您在令牌中放入了任何内容，则在信息更改时，您将不得不重新发行这些令牌（必须使用户登录和注销）或实施复杂的令牌更新逻辑。 应用程序也在发展：今天您需要价格，明天其他。 更改所有用户的每次令牌（实际上将其用作分发服务器存储）可能不是一个好主意。 这就是为什么最好使JWT尽可能短。

您的问题更多基于观点，但根据我个人的观点，我肯定会在jwt中仅存储userId（如果需要，可以添加+元信息）。 但不是特定于应用程序的东西。 从数据库读取是要走的路。