Come proteggere il campo password in Mongoose/MongoDB in modo che non ritorni in una query quando popolo le raccolte?

Question

Supponiamo che abbia due collezioni/schemi. Uno è lo schema degli utenti con campi nome utente e password, quindi, ho uno schema Blog che ha un riferimento allo schema utenti nel campo autore. Se uso Mangusta fare qualcosa di simile

Blogs.findOne({...}).populate("user").exec() 

avrò il documento Blog e l'utente popolata troppo, ma come faccio a prevenire Mongoose/MongoDB di tornare il campo della password? Il campo della password è sottoposto a hash ma non dovrebbe essere restituito.

So che posso omettere il campo della password e restituire il resto dei campi in una query semplice, ma come faccio a farlo con popola. Inoltre, c'è un modo elegante per farlo?

Inoltre, in alcune situazioni ho bisogno di ottenere il campo della password, come quando l'utente vuole accedere o modificare la password.

Answer 1

.populate('user' , '-password') 

http://mongoosejs.com/docs/populate.html

JohnnyHKs rispondere utilizzando le opzioni dello schema è probabilmente il modo di andare qui.

Si noti inoltre che query.exclude() esiste solo nel ramo 2.x.

Answer 2

Assumendo che il campo password è "password" si può solo fare:

.exclude('password') 

C'è un più ampio esempio here

che si concentra sui commenti, ma è lo stesso principio in gioco.

È come utilizzare una proiezione nella query in MongoDB e passare {"password" : 0} nel campo di proiezione. Vedi here

Answer 3

È possibile modificare il comportamento predefinito a livello di definizione dello schema utilizzando l'attributo select del campo:

password: { type: String, select: false } 

Poi si può tirare in base alle esigenze in find e populate chiamate tramite selezione campo come '+password' . Per esempio:

Users.findOne({_id: id}).select('+password').exec(...); 

Answer 4

Edit:

Dopo aver provato entrambi gli approcci, ho trovato che l'approccio escludere sempre non funzionava per me per qualche ragione con la strategia di passaporto locale, in realtà non so perché.

Quindi, questo è quello che ho finito per usare:

Blogs.findOne({_id: id}) 
    .populate("user", "-password -someOtherField -AnotherField") 
    .populate("comments.items.user") 
    .exec(function(error, result) { 
     if(error) handleError(error); 
     callback(error, result); 
    }); 

c'è niente di sbagliato con l'approccio escludere sempre, semplicemente non ha funzionato con il passaporto, per qualche ragione, i miei test mi hanno detto che in realtà la la password veniva esclusa/inclusa quando volevo. L'unico problema con l'approccio include include è che fondamentalmente ho bisogno di passare attraverso ogni chiamata che faccio al database ed escludere la password che è un sacco di lavoro.

---

Dopo un paio di grandi risposte ho scoperto ci sono due modi per farlo, il "includono sempre e esclude qualche volta" e il "sempre escludere e includere qualche volta"?

Un esempio di entrambi:

L'includono sempre ma esclude volte esempio:

Users.find().select("-password") 

o

Users.find().exclude("password") 

L'exlucde sempre ma includono talvolta esempio:

Users.find().select("+password") 

ma è necessario definire nello schema:

password: { type: String, select: false } 

Answer 5

questo è più un corollario alla domanda iniziale, ma questa è stata la domanda che mi sono imbattuto cercando di risolvere il mio problema ...

Vale a dire, come inviare l'utente al client nell'utente. save() callback senza campo password.

Caso di utilizzo: l'utente dell'applicazione aggiorna le informazioni/le impostazioni del profilo dal client (password, informazioni di contatto, whatevs). Si desidera inviare le informazioni utente aggiornate al client nella risposta, una volta che è stato salvato correttamente in mongoDB.

User.findById(userId, function (err, user) { 
    // err handling 

    user.propToUpdate = updateValue; 

    user.save(function(err) { 
     // err handling 

     /** 
      * convert the user document to a JavaScript object with the 
      * mongoose Document's toObject() method, 
      * then create a new object without the password property... 
      * easiest way is lodash's _.omit function if you're using lodash 
      */ 

     var sanitizedUser = _.omit(user.toObject(), 'password'); 
     return res.status(201).send(sanitizedUser); 
    }); 
}); 

Answer 6

Blogs.findOne({ _id: id }, { "password": 0 }).populate("user").exec()

Answer 7

User.find().select('-password') è la risposta giusta. Non è possibile aggiungere select: false allo schema poiché non funzionerà, se si desidera effettuare il login.