Модуль аутентификации 'Passport' требует метода FindOrCreate для входа в систему. Я использую мангуст, чтобы спасти свои пользователь со следующей схемой:Как бороться с async. findOrCreate метод для паспорта и mongoose
var UserSchema = new Schema({
firstname: String,
lastname: String,
email: String,
accounts: []
});
массива счетов содержит объекты, которые представляют facebook счета, как {provider: "facebook", uid: "someFacebookId"}
.
Моя стратегия аутентификации выглядит следующим образом:
// Authentication Strategy
passport.use(new FacebookStrategy({
clientID: CONFIG.fb.appId,
clientSecret: CONFIG.fb.appSecret,
callbackURL: CONFIG.fb.callbackURL
},
function(accessToken, refreshToken, profile, done) {
// asynchronous verification, for effect...
process.nextTick(function() {
User.find({ 'accounts.uid': profile.id, 'accounts.provider': 'facebook' }, function(err, olduser) {
if(olduser._id) {
console.log('User: ' + olduser.firstname + ' ' + olduser.lastname + ' found and logged in!');
done(null, olduser);
} else {
var newuser = new User();
var account = {provider: "facebook", uid: profile.id};
newuser.accounts.push(account);
newuser.firstname = profile.name.givenName;
newuser.lastname = profile.name.familyName;
newuser.email = "TBD...";
newuser.save(function(err) {
if(err) { throw err; }
console.log('New user: ' + newuser.firstname + ' ' + newuser.lastname + ' created and logged in!');
done(null, newuser);
});
}
});
});
}
));
Проблема: После запроса мою базу данных (User.find(...)
) функция обратного вызова выполняется немедленно, не дожидаясь моей базы данных, чтобы ответить. Это приводит к неопределенному объекту olduser
. Поэтому я получаю дубликат одного и того же пользователя в моей базе данных каждый раз, когда этот пользователь пытается войти в систему.
Как правильно обрабатывать этот асинхронный обратный вызов?
Я знаю, что это напрямую не связано с вопросом, но разве это не так, что найти запрос немного опасно? Он ищет пользователя с любыми accounts.uid данного значения и с любым accounts.provider из 'facebook'. Но что заставляет их быть одним и тем же элементом списка счетов? То есть, что, если у другого пользователя был соответствующий uid с другим провайдером? – StevenC
Я предполагаю, что он ищет комбинацию обоих значений, которая должна быть уникальной. – Sven
Это предполагает опасность. Поскольку поиск в массиве учетных записей согласован, если у пользователя есть учетная запись facebook, а учетная запись * ANY * имеет этот uid. Если у кого-то есть сервер OpenAuth, он может войти в систему как любой пользователь, вернув ему uid. – tangxinfa