## This article in progress...

![qr](https://pravosleva.pro/express-helper/chat/storage/uploads/ux-test/1696163081301.png)

В этой статье я зафиксирую для себя некоторые соображения о том, как дешевыми средствами организовать авторизацию по QR. Эта статья не претендует на абсолютную истину в надежности своего подхода. Просто мысли.

> See also https://www.npmjs.com/package/qr-code-styling, **[TRY THIS](https://qr-code-styling.com/)**

> See also: [How to create a QR code in ExpressJS](https://gabrieleromanato.name/nodejs-create-a-qr-code-in-expressjs)

### _[pravosleva.pro/express-helper/qr/swagger/](https://pravosleva.pro/express-helper/qr/swagger/)_

![qr-exp](https://pravosleva.pro/static/img/qr_https_pravosleva_pro_express-helper_qr_swagger_.png)

### _Варианты авторизации по QR_

#### *v1*

- POST `/login`

> При успешной авторизации, создаём QR код с ссылкой и возможность перейти этой по ссылке успешно N раз.

*Response:*
```js
{
  ...data,
  qr,
  // содержащий ссылку на /auth/go-target с параметрами:
  // - logged_req_id
  // - hash
}
```
- static page `/auth/go-target? logged_req_id=<STRING>& hash=<STRING>`

Если клиент перешёл по ссылке с указанными параметрами и лимит аутентификации на доп устройствах не исчерпан, *проверим ему на слово и авторизуем **(NOTE: дыра в безопасности детектед!)***, актуализируя счётчик.
**Иначе варианты:**
- ☐ 1) чистим куку и отвечаем 500
- ☐ 2) или переводим на err page?
- ✔ 3) или чистим куку и редиректим и на авторизацию с хэшом (если найдем хэш по logged_req_id (id успешного запроса /login), если нет - можно 500; ***ПОПРАВКА: hash и logged_req_id в параметрах этого запроса - 500-я будет в случаях: 3.1) невалидного хэша либо logged_req_id***

<Alert header='Additional cookie' text='**urgent_auth_service_msg** cookie for 15 seconds (will be read on client for UI notification) ***httpOnly: false***' type='warning' />

# OLD [2021-03-26]

## 🧨 Express minimalism

Simplest middleware.

```js
import { Response as IResponse } from 'express'
import { ICustomRequest } from '~/utils/interfaces'
import QRCode from 'qrcode'
import { promisify } from 'es6-promisify'

const genDataUrl: (payload: string) => Promise<string> = promisify(QRCode.toDataURL.bind(QRCode))

export const tstGenerate = async (req: ICustomRequest, res: IResponse) => {
  const { payload } = req.query

  if (!payload) {
    return res
      .status(401)
      .json({ ok: false, message: 'Missing required parameter: "payload"' })
  }

  const dataUrl = await genDataUrl(String(payload))

  return res.status(200).json({
    ok: true,
    src: dataUrl,
  })
}
```

#express #qr code experience #auth

# [casjay-forks/Express-API-Auth-JWT](https://github.com/casjay-forks/Express-API-Auth-JWT)

#express #passport #letsTry #auth

**[User Authentication in Next.js with Strapi](https://strapi.io/blog/user-authentication-in-next-js-with-strapi)**

[Authentication Patterns for Next.js](https://www.youtube.com/watch?v=NSR_Y_rm_zU)

**[Authentication Higher Order Component in Next.js](https://www.youtube.com/watch?v=Jdwvd5QKNjI)**; [code](https://github.com/benawad/codeponder/blob/c9955c52bd22eed8c5950bfa96df133bef463a3b/packages/web/components/withAuth.tsx)

#nextjs #auth #strapi

https://stackoverflow.com/questions/9960897/why-doesnt-my-ssh-key-work-for-connecting-to-github

#github auth #ssh key doesnt work

Сертификат, который ты используешь для чего-либо, обычно выдается и подтверждается неким сервером, который называется certificate authority. В общем, твоя программа / браузер / система или что там пытается использовать этот сертификат - не может подтвердить подлинность этого certificate authority. Тут 3 варика: Либо сертификат заэкспайрился (вышел срок годности так сказать), сервер действительно какойто левый, которому нельзя доверять, либо ты self-signed сертификат заюзал.

https://t.me/react_js/1286938

#ssl | net::ERR_CERT_AUTHORITY_INVALID

https://www.youtube.com/watch?v=fN25fMQZ2v0

#jwt #auth sample

https://t.me/react_js/1196618

Ну собственно:
в редаксе у нас есть middleware типа санок или саг.
Вот ты в ней вызываешь например функцию которая тебе запрос на сервер делает.
Пусть сервер тебе токен высылает, который автоматом в куки попадает (которые только HTTPOnly) 
Как ты знаешь куки каждый раз автоматом при запросе на сервер уходят
Значит и токен доступа также будет автоматом туда уходить.
Далее при запросе на вход в систему тебе сервер ответит кодом 200 если ты успешно вошел в систему,
 или не ответит  или ответит с кодом больше 400, если ошибка.
Вот ты  проверяешь этот код и если он 200, то в редаксе флаг какой нибудь ставишь на true,
Например он у тебя будет наызваться isAuthenticated.

Вот когда isAuthenticated === true это значит что ты в систему вошел,
а вот когда isAuthenticated === false это значит что ты не вошел в систему.

Соотвтетсвенно логику работы программы нужно делать в соответствии со значением этого флага.
напиример при isAuthenticated === true мы какие то маршруты или компонеты делаем доступными, а при isAuthenticated === false не позваоляем пользователю получить к ним доступ.

Соотвественно при log out ты делаешь запрос на сервер о том что ты вышел из системы, что бы он обнулил токен доступа и вторым действием устанавливаешь isAuthenticated=false.

Есть еще нюансы с истечением срока годности токена во время работы программы, обновлением его посредством refreshToken и.т.д и т.п.

#react #redux auth

https://yoomoney.ru/docs/wallet/using-api/authorization/basics

#yoomoney | auth

#auth0

2019.02 [Modern Token Authentication in Node with Express](https://developer.okta.com/blog/2019/02/14/modern-token-authentication-in-node-with-express)

auth