req.params.user_id) {
return next()
}
Мб я что то не вдупляю? Каким образом это условие даёт нам проверку на ownership?
Не даёт
Нужен весь код что бы ответить
Запрос не будет обработан, если параметр из запроса не совпадёт с текущим user id
А если это в проекте express-gateway Мб там какая-то магия и автоматическая подстановка в сервисы params.user_id? Или автор просто сделал эту заглушку...
Спс, кэп
А, вру, если это параметр в пути, по которому определяется ресурс у юзера, то норм
Все равно не понимаю, как тут чекается, да и зачем вообще эта проверка, она же не от чего не спасает....
зависит от того что дальше происходит) приведите пример роута
Есть ресурс, принадлежащий юзеру Х. Запросы к этому ресурсу идут на /X/* Если к нему делает запрос не Х, тогда он не овнер
Так params.user_id я могу подставить любой, это сделано только для разделения роутов что-ли.
Нет, если это параметр в маршруте, который определят, с чьим ресурсом ты работаешь
тут вопрос в том что зачем пихать свой же айдишник в маршрут, если ты знаешь юзера из req.user
Например, если все могут читать ресурс, но только автор менять
Ну вот именно, зачем пихать в параметры, я же его итак знаю из auth....
точно, тот же /api/users/profile/:user_d
Если это Юзер ставит ставку только на себя / себе, то в параметрах не нужно пихать user_id
Потому что не только ты к своим ресурсам можешь обращаться
Чтобы чекнуть овнер или админ обращается?
овнер или левый человек
или левый бот 🤖
Так а левый итак не сможет, там же авторизация. Я так понял, что конкретно тут ставку может создать сам юзер и админ может создать для юзера. И для этого сделано
имхо я бы делал админу отдельные рауты
Ну не мой проект, решил спросить. Мб я туплю) Доков нет
а че там за мидлвары дальше
левый юзер
А если есть юзер, админ, директор, менеджер, менеджер средний, старший менеджер, админ по постам категории Х, админ по понедельникам? :D
ох ох ох)) я имел ввиду если там 1 админ с одной админкой сидит) а так да, конечно)
Я просто обычно использую req.user.id, но теперь понимаю, зачем тут params.user_id - это достаточно гибко.
Обсуждают сегодня