Создание безопасных потоков паролей с помощью NodeJS и MySQL — Smashing Magazine

  router.post ('/ Forgot-Password', асинхронная функция (req, res, next) {
  // убедитесь, что у вас есть пользователь с этим адресом электронной почты
  var email = await User.findOne ({где: {email: req.body.email}});
  if (email == null) {
  / **
   * мы не хотим говорить злоумышленникам, что
   * электронная почта не существует, потому что это позволит
   * они используют эту форму, чтобы найти те, которые делают
   * существует.
   ** /
    return res.json ({status: 'ok'});
  }
  / **
   * Срок действия любых токенов, которые были ранее
   * установлен для этого пользователя. Что мешает старым токенам
   * от использования.
   ** /
  await ResetToken.update ({
      б: 1
    },
    {
      где: {
        электронная почта: req.body.email
      }
  });
 
  // Создать токен случайного сброса
  var fpSalt = crypto.randomBytes (64) .toString ('base64');
 
  // токен истекает через час
  var expireDate = new Date ();
  expireDate.setDate (expireDate.getDate () + 1/24);
 
  // вставляем данные токена в БД
  await ResetToken.create ({
    электронная почта: req.body.email,
    expiration: expireDate,
    токен: токен,
    б: 0
  });
 
  // создать электронную почту
  константное сообщение = {
      от: process.env.SENDER_ADDRESS,
      to: req.body.email,
      replyTo: process.env.REPLYTO_ADDRESS,
      subject: process.env.FORGOT_PASS_SUBJECT_LINE,
      текст: 'Чтобы сбросить пароль, нажмите на ссылку ниже.  n  nhttps: //'+process.env.DOMAIN+'/user/reset-password? token =' + encodeURIComponent (token) + '& email =' + req.body.email
  };
 
  // отправить письмо
  transport.sendMail (сообщение, функция (ошибка, информация) {
     if (err) {console.log (err)}
     else {console.log (info); }
  });
 
  return res.json ({status: 'ok'});
});  

  extends ../layout
 
блокировать контент
  div.container
    div.row
      div.col
        h1 забыл пароль
        p Введите адрес электронной почты ниже. Если он у нас есть, мы отправим вам электронное письмо для сброса.
        div.forgot-message.alert.alert-success (style = "display: none;") Получен адрес электронной почты. Если у вас есть электронное письмо с файлом, мы отправим вам электронное письмо для сброса. Пожалуйста, подождите несколько минут и проверьте папку со спамом, если вы ее не видите.
        form # ForgotPasswordForm.form-inline (onsubmit = "return false;")
          div.form-группа
            label.sr-only (for = "email") Адрес электронной почты:
            input.form-control.mr-2 # emailFp (type = 'email', name = 'email', placeholder = "Адрес электронной почты")
          div.form-group.mt-1.text-центр
            button # fpButton.btn.btn-success.mb-2 (type = 'submit') Отправить письмо
 
  скрипт.
    $ ('# fpButton'). on ('click', function () {
      $ .post ('/ user / Forgot-Password', {
        email: $ ('# emailFp'). val (),
      }, функция (соответственно) {
        . $ ( 'Забыл-сообщение') показать ();
        . $ ( '# ForgotPasswordForm') удалить ();
      });
    });  

  router.get ('/ reset-password', асинхронная функция (req, res, next) {
  / **
   * Этот код очищает все просроченные токены. Вы
   * следует переместить это в cronjob, если у вас есть
   * большой сайт. Мы просто включаем это здесь как
   * демонстрация.
   ** /
  await ResetToken.destroy ({
    где: {
      истечение срока: {[Op.lt]: Sequelize.fn ('CURDATE')},
    }
  });
 
  // найти токен
  var record = await ResetToken.findOne ({
    где: {
      электронная почта: req.query.email,
      истечение срока: {[Op.gt]: Sequelize.fn ('CURDATE')},
      токен: req.query.token,
      б: 0
    }
  });
 
  if (record == null) {
    return res.render ('user / reset-password', {
      сообщение: «Срок действия токена истек. Пожалуйста, попробуйте сбросить пароль еще раз. ',
      showForm: ложь
    });
  }
 
  res.render ('user / reset-password', {
    showForm: правда,
    запись: запись
  });
});  

  router.post ('/ reset-password', асинхронная функция (req, res, next) {
  // сравниваем пароли
  if (req.body.password1! == req.body.password2) {
    return res.json ({status: 'error', сообщение: 'Пароли не совпадают. Пожалуйста, попробуйте еще раз.'});
  }
 
  / **
  * Убедитесь, что пароль действителен (isValidPassword
  * функция проверяет, если пароль> = 8 символов, буквенно-цифровой,
  * имеет специальные символы и т. д.)
  ** /
  if (! isValidPassword (req.body.password1)) {
    return res.json ({status: 'error', сообщение: 'Пароль не соответствует минимальным требованиям. Пожалуйста, повторите попытку.'});
  }
 
  var record = await ResetToken.findOne ({
    где: {
      электронная почта: req.body.email,
      истечение срока: {[Op.gt]: Sequelize.fn ('CURDATE')},
      токен: req.body.token,
      б: 0
    }
  });
 
  if (record == null) {
    return res.json ({status: 'error', сообщение: 'Token not found. Пожалуйста, попробуйте снова сбросить пароль.'});
  }
 
  var upd = await ResetToken.update ({
      б: 1
    },
    {
      где: {
        электронная почта: req.body.email
      }
  });
 
  var newSalt = crypto.randomBytes (64) .toString ('hex');
  var newPassword = crypto.pbkdf2Sync (req.body.password1, newSalt, 10000, 64, 'sha512'). toString ('base64');
 
  await User.update ({
    пароль: новый пароль,
    соль: newSalt
  },
  {
    где: {
      электронная почта: req.body.email
    }
  });
 
  return res.json ({status: 'ok', сообщение: 'Пароль сброшен. Пожалуйста, войдите с новым паролем.'});
});

И снова мнение:

расширяет ../layout
 
блокировать контент
  div.container
    div.row
      div.col
        h1 Сбросить пароль
        p Введите новый пароль ниже.
        если сообщение
          div.reset-message.alert.alert-warning # {message}
        еще
          div.reset-message.alert ( 'дисплей: нет;' стиль =)
        если showForm
          form # resetPasswordForm (onsubmit = "return false;")
            div.form-группа
              label (for = "password1") Новый пароль:
              input.form-control # password1 (type = 'password', name = 'password1')
              small.form-text.text-muted Пароль должен состоять из 8 или более символов.
            div.form-группа
              метка (for = "password2") Подтвердите новый пароль
              input.form-control # password2 (type = 'password', name = 'password2')
              small.form-text.text-muted Оба пароля должны совпадать.
            input # emailRp (type = 'hidden', name = 'email', value = record.email)
            input # tokenRp (type = 'hidden', name = 'token', value = record.token)
            div.form-группа
              button # rpButton.btn.btn-success (type = 'submit') Сбросить пароль
 
  скрипт.
    $ ('# rpButton'). on ('click', function () {
      $ .post ('/ user / reset-password', {
        password1: $ ('# password1'). val (),
        password2: $ ('# password2'). val (),
        email: $ ('# emailRp'). val (),
        токен: $ ('# tokenRp'). val ()
      }, функция (соответственно) {
        if (resp.status == 'ok') {
          $ (»Сброс-сообщение.) RemoveClass (« тревога-опасность ') addClass (' тревога-успех) шоу () текст (resp.message)....;
          $ ( '# ResetPasswordForm') удалить ().
        } еще {
          $ ( 'Сброс-сообщение.) RemoveClass ( «тревога-успех ') addClass (' тревога-опасность') показать () текст (resp.message)....;
        }
      });
    });