Vue 中的登录处理 - 检查状态码是否足够？

Question

在一个 Vue 应用程序中，我有一个登录名。 使用 email 和密码，我向 node express 后端发送一个 POST 请求。 如果 email 和密码不匹配，我会发回 409 HTTP 状态代码，其中包含以下消息：“无法访问。在我的 POST 获取块中，我截取状态代码并检查我是否没有获得 200 状态，如果这是案例。我发送一条错误消息。如果我有 200 状态码，我将 JWT 令牌放入 cookie。这有效，但老实说。我发现检查状态码太低。

有什么方法可以检查登录响应。 还有其他方法吗？ 非常感谢！

    async submit() {
      try {
        const d = await fetch(config.apiUri + "sign-in", {
            method: 'POST',
            headers: {'Content-Type': 'application/json'},
            credentials: 'omit',
            body: JSON.stringify(this.data),
        });
        const j = await d.json();

        if (d.status !== 200) {
          this.errorMsg = j.message
          console.log(this.errorMsg)
          return;
        }
        
        accessHelper.setToken(j.token, this.mys);
        accessHelper.setAuth = true;
        this.$router.push("/");          
      } catch(err) {
        console.log("Something went wrong", err)
      }

    }

Answer 1

对于登录用例，大多数“魔法”发生在服务器上。 那包含着

• 在存储和更新密码时对密码进行散列和加盐处理，
• 在登录期间散列和检查收到的密码
• 您希望在一定次数的登录失败后锁定帐户
• 并在一定次数的登录失败后锁定 IP。

成功登录后，您的服务器会发送某种身份验证信息（在您的情况下为 JWT），这允许前端访问受保护的端点。 前端无法真正知道用户名/密码组合不正确这一事实。 因此，只检查状态码就可以了。

此 OWASP 备忘单包含一些有关身份验证的有用信息。

如果您对处理登录感到不舒服，您可以考虑将 OAUTH 与例如GitHub和/或Firebase等身份验证服务一起使用