根据Auth0范围授权FeathersJs服务

Question

我的feathers.js API中有一个用户服务。 我想使find方法仅适用于已阅读：users范围集的经过身份验证的用户。

我将express-jwt用作身份验证的中间件。 我尝试使用express-jwt-authz进行授权，但由于钩子内req不可用，所以无法使用。 express-jwt库在req.user中设置范围

用法JWT认证中间件使用JWT认证调用方。 如果令牌有效，则将使用解码后的JSON对象设置req.user，以供以后的中间件用于授权和访问控制。

有没有办法可以在钩子内访问access_token中的作用域？

我希望能够做这样的事情：

module.exports = {
  before: {
    all: [],
    find: [ authorize(['read:users']) ],
    get: [ authorize(['read:users'])],
    create: [ authorize(['write:users']) ],
    update: [ authorize(['write:users'])   ],
    patch: [ authorize(['write:users'])  ],
    remove: [ authorize(['write:users'])  ]
  }
};

Answer 1

通过添加将req.user数据添加到req.feathers.scope的中间件来解决该问题。

我的src/middleware/index.js文件

const addUserToReq = function(req, res, next) {
  req.feathers.user = req.user; next();
};

module.exports = function (app) {
  app.use(checkJwt); // express-jwt logic
  app.use(addUserToReq);
};

然后在挂钩中，我可以像这样访问此信息

module.exports = function(expectedScopes) {
  return context => {
      let scopes = context.params.user.scope;
    }
  };
};