Аутентификация клиентского сертификата Node.js только на некоторых путях

Я попал сюда, потому что работаю над той же проблемой и поделюсь своим подходом. Для конечных точек, которые требуют, чтобы пользователь прошел аутентификацию с использованием действительного сертификата, я использую настраиваемый путь, добавленный к конечным точкам, требующим сертификата, и проверяю, что пользователь прошел аутентификацию с использованием сертификата, если он обращается к любой конечной точке, следующей по этому пути (экспресс-приложение предполагается). то есть:

app.use('/api/cert', function(req, res, next){
    //validate that any token passed in the request was generated for a valid
    //cert login, otherwise reject request

    //pseudo-code
    if(isValidCertToken(req.authentication.token)) {
        next(); //this will pass it on to the correct endpoint in the /api/cert/[whatever] chain
    } else {
        req.status(401).send({error: 'invalid login, cert required'});
    }
});

Это потребует, чтобы вы разрешили пользователю аутентифицироваться с использованием сертификатов, установив для флага requestCert значение true, но также разрешите другие методы аутентификации, если пользователь не хочет использовать конечные точки «требуется сертификат», пока установлен rejectUnauthorized в false при настройке соединения https.

Я думаю, что эту проблему можно решить, настроив обратный шлюз прокси/API с использованием пакета Node.js http-proxy-middleware, который совместим с экспрессом (пакет веб-сервера, который мы используем).

Как показано в примере на домашней странице пакета Node.js, это можно сделать следующим образом: 1. Определите перенаправления для API UNAUTH и AUTH в соответствии с соглашением, используемым http-proxy-middleware, и используйте его на следующем шаге.

2. Запустите экспресс-веб-сервер HTTPS на требуемом порту (скажем, 3000) с http-proxy-middleware, настроенным для работы в качестве шлюза обратного прокси-сервера/API. Нет необходимости устанавливать requestCert и rejectUnauthorized в параметрах https.createServer.

3. Запустите экспресс-веб-сервер HTTPS на другом порту (скажем, 3001) для обслуживания запросов API UNAUTH. Нет необходимости устанавливать requestCert и rejectUnauthorized в параметрах https.createServer.

4. Запустите экспресс-веб-сервер HTTPS на другом порту (скажем, 3002) для обслуживания запросов AUTH API. Установите requestCert:true и rejectUnauthorized:true в качестве параметров https.createServer.

Запросы UNAUTH будут перенаправляться туда и обратно с 3000 на 3001, а запросы AUTH будут перенаправляться туда и обратно с 3000 на 3002.

Я не уверен, правильно ли я понимаю, чего вы хотите.. но, насколько я понимаю, если вы используете экспресс, вы можете управлять этой вещью с помощью простого промежуточного программного обеспечения. В этом промежуточном программном обеспечении вы можете отслеживать любой запрос, поступающий с http или https через это

HTTPS-соединение имеет req.connection.encrypted (объект с информацией о SSL-соединении). HTTP-соединение не имеет req.connection.encrypted.

Также (из документов):

При поддержке HTTPS используйте request.connection.verifyPeer() и request.connection.getPeerCertificate() для получения данных аутентификации клиента.

Надеюсь, это поможет..

Вы можете добиться этого путем повторного согласования TLS, но, к сожалению, это не поддерживается TLS 1.3, поэтому вам нужно отключить его:

https
    .createServer(
        {
            // configure key, cert, ca,
            secureOptions: require('constants').SSL_OP_NO_TLSv1_3,
        },
        function (req, res) {
            if (req.url.startsWith('/secure')) {
                req.socket.renegotiate(
                    {
                        requestCert: true,
                        rejectUnauthorized: true,
                    },
                    err => {
                        if (err) {
                            console.log('Renegotiation failed', err);
                            res.writeHead(500);
                            res.end('Internal Server Error');

                            return;
                        }

                        // handle secure content
                    },
                );
            } else {
                // handle main content
            }
        },
    )
    .listen(443);