基于 session 的身份验证对于聊天应用程序是否安全

Question

我正在使用 next.js、node.js、express js 和 MongoDB 创建聊天应用程序。我使用 next-auth 进行身份验证。 我正在使用谷歌身份验证。 我通过使用 getSession() 挂钩获得 session object。 从这个 session object 中，我得到了与数据库中相同的用户 ID。 我使用这个“用户 ID”来发布或从数据库中获取信息。

我的问题：这是一种安全的方式吗，因为我没有发送任何 jwt 令牌来从后端验证用户？ 如您所见，我没有发送 jwt 令牌。

我担心的是：如果我发送或获取这样的数据，那么只要知道用户 ID，任何人都可以访问这些数据。

import React, { useEffect, useState } from 'react';
import Link from 'next/link';
import axios from 'axios';
import { getSession } from 'next-auth/react';
import Modal from '../../components/popupchat/modal';

const PopupChat = ({ data }) => {
  const [chatList, setChatList] = useState([]);
  useEffect(() => {
    const getChatList = async () => {
      const res = await axios.get(
        `${process.env.NEXT_PUBLIC_API_URL}api/chat/admin/${data.user.id}`
      );
      setChatList(res.data);
    };
    getChatList();
  }, []);
  return (
    <>
      <Modal data={data} />
      <div className="overflow-x-auto relative">
        <table className="w-full text-sm text-left text-gray-500 dark:text-gray-400">
          <thead className="text-xs text-gray-700 uppercase bg-gray-50 dark:bg-gray-700 dark:text-gray-400">
            <tr>
              <th scope="col" className="py-3 px-6">
                Chat Name
              </th>
              <th scope="col" className="py-3 px-6">
                Chat Title
              </th>
              <th scope="col" className="py-3 px-6">
                Created AT
              </th>
              <th scope="col" className="py-3 px-6">
                Open
              </th>
            </tr>
          </thead>
          {chatList &&
            chatList.map((singleChat, index) => {
              return (
                <tbody key={index}>
                  <tr className="bg-white border-b dark:bg-gray-800 dark:border-gray-700">
                    <td className="py-4 px-6 font-medium text-gray-900 whitespace-nowrap dark:text-white">
                      {singleChat.chatName}
                    </td>
                    <td className="py-4 px-6 font-medium text-gray-900 whitespace-nowrap dark:text-white">
                      {singleChat.chatTitle}
                    </td>
                    <td className="py-4 px-6 font-medium text-gray-900 whitespace-nowrap dark:text-white">
                      {singleChat.createdAt}
                    </td>
                    <td className="py-4 px-6 font-medium text-gray-900 whitespace-nowrap dark:text-white">
                      <Link href={`/popupchat/${singleChat._id}`}>Open</Link>
                    </td>
                  </tr>
                </tbody>
              );
            })}
        </table>
      </div>
    </>
  );
};

export default PopupChat;

export async function getServerSideProps({ req }) {
  const session = await getSession({ req });
  if (!session) {
    return {
      redirect: {
        destination: '/login',
        permanent: false,
      },
    };
  }
  return {
    props: {
      data: session,
    },
  };
}

Answer 1

一点都不安全。 “默默无闻的安全”不是安全，它是一种以某种方式使某些东西安全的幻觉。 您应该始终正确保护对后端资源的访问。 对用户进行身份验证，然后建立会话或为前端客户端提供访问令牌。

您可以在后端端点的路径中包含用户 ID，但请求应包含一些凭据（会话、访问令牌，甚至密码），以便后端可以授权请求。 后端必须能够判断调用者是否有权访问该用户的信息。 仅仅知道用户 ID 是不够的。