Я создаю сервер REST API, который генерирует (или извлекает из формы Db, если он уже существует) токен доступа 32 char и возвращаю его после входа пользователя в систему, а затем каждый раз, когда пользователь хочет что-то сделать, он / она должен отправлять access token в заголовке и что бы он ни хотел делать в теле, и с каждым запросом сервер проверяет действительность токена доступа, а затем отвечает пользователю and token are valid only for a day if user wont sign out
поэтому мне интересно, это безопасный метод аутентификации пользователей? есть ли способ сделать его более безопасным?





Вы можете добавить промежуточное ПО в свое экспресс-приложение и проверить там свой токен, если он действителен, продолжить с ним, иначе вернуть пользователю ответ об ошибке.
app.use(function(req, res, next) {
// check header or url parameters or post parameters for token
var token = req.headers['x-access-token'];
// decode token
if (token) {
// verifies token
var isValidToken = validateToken(token); // function to validate token
if ( isValidToken ){
next();
}else{
// if there is no token
// return an error
return res.status(403).send({
success: false,
message: 'No token provided.'
});
}
} else {
// if there is no token
// return an error
return res.status(403).send({
success: false,
message: 'No token provided.'
});
}
});