Nodejs+express eigenes Sicherheitssystem

Question

Ich habe mein eigenes Login-System in Node.js erstellt und habe ein paar Fragen dazu.

Um den Benutzerlogin zu überprüfen, mache ich folgendes:

   function loadUser (req, res, next) {
       // Benutzer-ID überprüfen
       if (req.session.user_id) {
           // Gibt es in der Datenbank
           User.findById({_id: req.session.user_id}, function (err, user) {
            if (user) {
              req.currentUser = user;
              next();
            } else {
              res.redirect('/login');
            }
        });
       }
    }

    app.get('/secure', loadUser, function (req, res) {
       res.render('secure.jade', {user: req.currentUser});
    });

Wie sicher ist das? Kann ein Hacker einen Session-Schlüssel abfangen? Und gibt es bewährte Verfahren, um diesen Ansatz zu verbessern?

Answer 1

Wenn der Hacker das Cookie des Benutzers stiehlt, kann er ihn imitieren, aber das ist bei vielen Websites der Fall. Du solltest dir jedoch nicht allzu viele Sorgen darüber machen.

Es ist auch besser, den Benutzernamen zusammen mit der user_id im Gedächtnis zu behalten, es macht keinen Sinn, über die Zeit hinweg zwei Abfragen zu machen.