つくる:認証完備

新しいことは出てきません

この回では、新しい知識は 1 つも出てきません。第7章で書いたものを 1 つにまとめて、登録からログイン、出品、編集までを通します。

通しで見ると流れが分かる

1. POST /register  名前とパスワードを送る → 利用者ができる
2. POST /login     名前とパスワードを送る → トークンをもらう
3. POST /items     トークンを添えて出品   → 自分の商品として登録される
4. PUT  /items/:id トークンを添えて編集   → 自分のものだけ通る

1 と 2 は似ていますが、役割が違います。登録は利用者を作る、ログインはその人だと確かめて引換券を渡すです。

3つのコードの住み分け

第7章で、断り方が 3 つに分かれました。

見る順番は 401 → 404 → 403 です。認証はミドルウェアで先に済み、その後で存在を見て、最後に権限を見ます。

守るものと開けておくもの

すべてを守ればよいわけではありません。

app.get("/items", ...);                // 誰でも見られる
app.post("/items", requireAuth, ...);  // 出品はログイン必須
app.put("/items/:id", requireAuth, ...); // さらに本人だけ

商品を見るのは誰でもできて、出品はログインした人、編集は出品者だけ。段階的に狭めていくのが自然な設計です。

ここまでに手に入れたもの

手を動かす

演習では、登録からログイン、出品、編集までを備えた API を組み立てます。第7章の総仕上げです。

1. POST /login はハッシュを照合し、通れば {"token":"token-<名前>"} を 200 で返す(失敗は 401)
2. POST /items は requireAuth を掛け、req.user.name を出品者として 201 で返す
3. PUT /items/:id は 404 → 403 の順に確かめ、通れば更新後の商品を 200 で返す