Password Hashing

Дізнаєтеся, як безпечно хешувати паролі, перевіряти їх і захищати облікові дані користувачів.

Що таке хешування паролів

Пароль не потрібно зберігати в базі даних у відкритому вигляді. Якщо база даних стане доступною зловмиснику, відкриті паролі можна буде одразу використати.

Хешування перетворює пароль на рядок фіксованого формату:

text

МійСкладнийПароль123

перетворюється, наприклад, на:

text

$2b$12$...

typescript

// src/auth/password.service.ts
import { Injectable } from '@nestjs/common';
import * as bcrypt from 'bcrypt';

@Injectable()
export class PasswordService {
  // Кількість раундів bcrypt. Більше значення підвищує захист,
  // але також збільшує час обчислення.
  private readonly saltRounds = 12;

  async hash(password: string): Promise<string> {
    return bcrypt.hash(password, this.saltRounds);
  }

  async compare(
    password: string,
    passwordHash: string,
  ): Promise<boolean> {
    return bcrypt.compare(password, passwordHash);
  }
}

typescript

// src/auth/auth.module.ts
import { Module } from '@nestjs/common';
import { PasswordService } from './password.service';

@Module({
  providers: [PasswordService],
  exports: [PasswordService],
})
export class AuthModule {}

typescript

// src/users/users.service.ts
import { Injectable } from '@nestjs/common';
import { PasswordService } from '../auth/password.service';

interface User {
  id: number;
  email: string;
  passwordHash: string;
}

@Injectable()
export class UsersService {
  private nextId = 1;
  private readonly users: User[] = [];

  constructor(
    private readonly passwordService: PasswordService,
  ) {}

  async createUser(
    email: string,
    password: string,
  ): Promise<Omit<User, 'passwordHash'>> {
    const passwordHash = await this.passwordService.hash(password);

    const user: User = {
      id: this.nextId++,
      email,
      passwordHash,
    };

    this.users.push(user);

    // Не повертаємо хеш пароля клієнту.
    const { passwordHash: _, ...safeUser } = user;
    return safeUser;
  }

  async findByEmail(email: string): Promise<User | undefined> {
    return this.users.find((user) => user.email === email);
  }
}

typescript

// src/auth/auth.service.ts
import { Injectable, UnauthorizedException } from '@nestjs/common';
import { PasswordService } from './password.service';
import { UsersService } from '../users/users.service';

@Injectable()
export class AuthService {
  constructor(
    private readonly usersService: UsersService,
    private readonly passwordService: PasswordService,
  ) {}

  async validateUser(email: string, password: string) {
    const user = await this.usersService.findByEmail(email);

    if (!user) {
      throw new UnauthorizedException('Неправильні облікові дані');
    }

    const isPasswordValid = await this.passwordService.compare(
      password,
      user.passwordHash,
    );

    if (!isPasswordValid) {
      throw new UnauthorizedException('Неправильні облікові дані');
    }

    // Хеш пароля не повинен залишати межі сервісу автентифікації.
    const { passwordHash: _, ...safeUser } = user;
    return safeUser;
  }
}

typescript

// src/auth/auth.controller.ts
import { Body, Controller, Post } from '@nestjs/common';
import { AuthService } from './auth.service';

class LoginDto {
  email: string;
  password: string;
}

@Controller('auth')
export class AuthController {
  constructor(private readonly authService: AuthService) {}

  @Post('login')
  async login(@Body() body: LoginDto) {
    const user = await this.authService.validateUser(
      body.email,
      body.password,
    );

    return {
      user,
    };
  }
}

Password Hashing

Що таке хешування паролів

Використання bcrypt у NestJS

Сервіс для роботи з паролями

Хешування під час реєстрації

Перевірка пароля під час входу

Приклад використання в контролері

Асинхронність

Вибір кількості раундів

Типові помилки

Збереження відкритого пароля

Повторне хешування під час перевірки

Повернення хешу клієнту

Логування пароля

Однакове розкриття причини помилки

Підсумок