Login com senha em hash

Tradução automática

Esta página foi traduzida automaticamente do inglês e ainda não foi revisada por um falante nativo; correções são bem-vindas no GitHub. Se algo não bater, vale o original em inglês. O código e os resultados são os mesmos do original, importados dos arquivos testados.

Tarefa: deixar um usuário entrar com e-mail e senha, com o banco guardando só um hash da senha, e mostrar uma página só para quem entrou.

A tabela guarda um hash bcrypt (feito com hashPassword, como na receita de cadastro), nunca a senha:

yaml

# Recipe: sign in against a password hash, and a page only a signed-in user sees.
paths:
  components: ./components
  migrations: ./migrations

datasources:
  db:
    driver: sqlite
    database: ./data/users.db

sql

CREATE TABLE users (
    id INTEGER PRIMARY KEY AUTOINCREMENT,
    email TEXT NOT NULL UNIQUE,
    name TEXT NOT NULL,
    role TEXT NOT NULL DEFAULT 'member',
    password_hash TEXT NOT NULL
);

-- The password is "correct horse battery"; only its bcrypt hash is stored
-- (made with hashPassword, see the sign-up recipe).
INSERT INTO users (email, name, role, password_hash) VALUES
    ('ana@example.com', 'Ana', 'admin',
     '$2b$12$I4TEFfyLIaWrYBSQnyB1cuE1nkqh3CS4qpXmtZcUPUokfv/cOZNnC');

A ação de login procura o usuário e confere a senha com verifyPassword. O resultado é falso, nunca um erro, para uma senha errada, um usuário que não existe ou um campo vazio. Quando dá certo, ela define as variáveis de sessão que require_auth e require_role leem. session.sessionExpiry é obrigatória: uma sessão sem ela conta como expirada.

xml

<q:component name="Login">
  <q:action name="signin" method="POST">
    <q:param name="email" type="email" required="true" />
    <q:param name="password" required="true" />

    <q:query name="user" datasource="db">
      SELECT id, name, role, password_hash FROM users WHERE email = :email
      <q:param name="email" value="{email}" type="string" />
    </q:query>

    <q:if condition="user_result.recordCount == 1 and verifyPassword(password, user[0].password_hash)">
      <q:set name="session.authenticated" value="true" type="boolean" />
      <q:set name="session.userId" value="{user[0].id}" />
      <q:set name="session.userName" value="{user[0].name}" />
      <q:set name="session.userRole" value="{user[0].role}" />
      <q:set name="session.sessionExpiry" value="{dateAdd('h', 8)}" />
      <q:redirect url="/" flash="Welcome, {user[0].name}!" />
    </q:if>
    <!-- The same message whether the address or the password is wrong. -->
    <q:redirect url="/login" flash="Wrong e-mail or password." flashType="error" />
  </q:action>

  <h1>Sign in</h1>
  <q:if condition="flash"><p class="flash-{flashType}">{flash}</p></q:if>
  <form method="POST">
    <input name="email" type="email" placeholder="E-mail" />
    <input name="password" type="password" placeholder="Password" />
    <button>Sign in</button>
  </form>
</q:component>

A página inicial pede uma sessão de quem entrou com require_auth="true":

xml

<q:component name="Home" require_auth="true">
  <q:if condition="flash"><p>{flash}</p></q:if>
  <h1>Hello, {session.userName}</h1>
  <p>You are signed in as {session.userRole}.</p>
</q:component>

Um endereço errado e uma senha errada recebem a mesma mensagem, então o formulário não conta a um estranho quais endereços têm conta:

xml

<q:test name="a visitor who is not signed in is sent to sign in" page="/">
  <test:visit />
  <test:expect text="Sign in" />
  <test:expect no-text="Hello," />
</q:test>

<q:test name="the right password signs in" page="/login">
  <test:submit action="signin" email="ana@example.com" password="correct horse battery" />
  <test:expect redirect="/" flash="Welcome, Ana!" />
  <test:expect text="Hello, Ana" />
  <test:expect text="You are signed in as admin." />
</q:test>

<q:test name="a wrong password is refused, with the same message as an unknown address" page="/login">
  <test:submit action="signin" email="ana@example.com" password="guess" />
  <test:expect redirect="/login" flash="Wrong e-mail or password." />
  <test:submit action="signin" email="nobody@example.com" password="guess" />
  <test:expect redirect="/login" flash="Wrong e-mail or password." />
</q:test>

text

tests/login.test.q
  PASS  a visitor who is not signed in is sent to sign in
  PASS  the right password signs in
  PASS  a wrong password is refused, with the same message as an unknown address
3 passed, 0 failed

Mais no guia Authentication (em inglês).

Login com senha em hash ​