Authentication: Register กับ Login ทำคนละงาน

คำถามที่ระบบต้องตอบ

Register: แปลง password ก่อนเก็บ

flowchart LR
  A["email + password\nจาก req.body"] --> B["bcrypt.hash(password, 10)"]
  B --> C["passwordHash"]
  C --> D["INSERT users\nemail + password_hash"]

Database ต้องเก็บ password_hash ไม่ใช่ password เดิม เพราะถ้าข้อมูลรั่ว เราไม่ควรทำให้ password ของผู้ใช้รั่วตามไปด้วย

Login: ตรวจแล้วออก token

flowchart LR
  A["email + password"] --> B["SELECT user by email"]
  B --> C["bcrypt.compare\npassword + stored hash"]
  C -->|"ไม่ตรง"| D["401 Invalid credentials"]
  C -->|"ตรง"| E["jwt.sign({ userId })"]
  E --> F["ส่ง token กลับ"]

สิ่งที่ห้ามใส่ผิดที่

ภาพจำ

Register = สร้างบัญชีด้วย hash; Login = ตรวจ password แล้วออกบัตรผ่าน (token)

เช็กตัวเอง

ถ้าต้องเลือกเก็บสิ่งหนึ่งใน Database ให้เลือก password_hash ไม่ใช่ password และถ้าต้องส่งสิ่งหนึ่งกลับหลัง Login ให้ส่ง token ไม่ใช่ password_hash