Cookies httpOnly e o problema

Oct 13, 2025 by magicalceylontours.com 91 views

Introdução

Ao implementar uma autenticação de usuário usando JWT (JSON Web Token) em um aplicativo Express, é comum utilizar cookies para armazenar o token de autenticação. No entanto, ao tentar acessar o token armazenado em um cookie com a propriedade httpOnly habilitada, você pode encontrar dificuldades. Neste artigo, vamos explorar as razões pelas quais isso acontece e fornecer soluções para acessar o token JWT armazenado em um cookie httpOnly no Express.

Cookies httpOnly e o problema

Os cookies httpOnly são uma característica de segurança que impede que o JavaScript possa acessar o valor do cookie. Isso é feito para prevenir ataques de injeção de código, como o XSS (Cross-Site Scripting). No entanto, ao tentar acessar o token JWT armazenado em um cookie httpOnly no Express, você pode encontrar que o valor do cookie não está disponível.

Por que isso acontece?

A razão pela qual isso acontece é que o Express utiliza o módulo cookie-parser para parsear os cookies. O cookie-parser ignora os cookies httpOnly e não os inclui no objeto de requisição. Isso significa que, ao tentar acessar o token JWT armazenado em um cookie httpOnly, você não encontrará o valor do cookie no objeto de requisição.

Soluções

Existem várias soluções para acessar o token JWT armazenado em um cookie httpOnly no Express. Aqui estão algumas delas:

1. Utilizar o módulo `express-session`

O módulo express-session é uma biblioteca que permite armazenar dados de sessão em um cookie. Ao utilizar o express-session, você pode armazenar o token JWT em uma variável de sessão e acessá-lo posteriormente.

Exemplo de código:

const express = require('express');
const session = require('express-session');
const app = express();
app.use(session(
secret 'minha-chave-secreta',
resave: false,
saveUninitialized: true,
cookie: {
httpOnly: true,
secure: true,
maxAge: 3600000 // 1 hora

}));
app.post('/login', (req, res) => 
const token = req.body.token;
req.session.token = token;
res.json({ mensagem 'Login bem-sucedido' );
});
app.get('/perfil', (req, res) => 
const token = req.session.token;
if (token) {
res.json({ token token );
} else 
res.status(401).json({ mensagem 'Token não encontrado' );
}
});

2. Utilizar o módulo `cookie-parser` com a opção `signed`

O módulo cookie-parser pode ser utilizado com a opção signed para assinar o cookie com uma chave secreta. Isso permite que o Express possa verificar a autenticidade do cookie e acessar o valor do token JWT.

Exemplo de código:

const express = require('express');
const cookieParser = require('cookie-parser');
const app = express();
app.use(cookieParser('minha-chave-secreta'));
app.post('/login', (req, res) => 
const token = req.body.token;
res.cookie('token', token, {
httpOnly true,
secure: true,
maxAge: 3600000 // 1 hora
);
res.json( mensagem 'Login bem-sucedido' );
});
app.get('/perfil', (req, res) => 
const token = req.cookies.token;
if (token) {
res.json({ token token );
} else 
res.status(401).json({ mensagem 'Token não encontrado' );
}
});

3. Utilizar o módulo `express-jwt`

O módulo express-jwt é uma biblioteca que permite utilizar o JWT como um middleware de autenticação no Express. Ao utilizar o express-jwt, você pode armazenar o token JWT em uma variável de requisição e acessá-lo posteriormente.

Exemplo de código:

const express = require('express');
const jwt = require('express-jwt');
const app = express();
const jwtMiddleware = jwt(
secret 'minha-chave-secreta',
requestProperty: 'token'
);
app.post('/login', (req, res) => 
const token = req.body.token;
req.token = token;
res.json({ mensagem 'Login bem-sucedido' );
});
app.get('/perfil', jwtMiddleware, (req, res) => 
const token = req.token;
if (token) {
res.json({ token token );
} else 
res.status(401).json({ mensagem 'Token não encontrado' );
}
});

Conclusão

Pergunta 1: Por que o Express não consegue acessar o token JWT armazenado em um cookie httpOnly?

Resposta: O Express utiliza o módulo cookie-parser para parsear os cookies. O cookie-parser ignora os cookies httpOnly e não os inclui no objeto de requisição.

Pergunta 2: Como posso acessar o token JWT armazenado em um cookie httpOnly no Express?

Resposta: Existem várias soluções para acessar o token JWT armazenado em um cookie httpOnly no Express. Algumas delas incluem:

Utilizar o módulo express-session para armazenar o token JWT em uma variável de sessão.
Utilizar o módulo cookie-parser com a opção signed para assinar o cookie com uma chave secreta.
Utilizar o módulo express-jwt para utilizar o JWT como um middleware de autenticação no Express.

Pergunta 3: Qual é a diferença entre um cookie httpOnly e um cookie não httpOnly?

Resposta: Um cookie httpOnly é um cookie que não pode ser acessado pelo JavaScript. Isso é feito para prevenir ataques de injeção de código, como o XSS (Cross-Site Scripting). Um cookie não httpOnly pode ser acessado pelo JavaScript.

Pergunta 4: Por que é importante utilizar cookies httpOnly?

Resposta: É importante utilizar cookies httpOnly para prevenir ataques de injeção de código, como o XSS (Cross-Site Scripting). Isso é feito para proteger a segurança do aplicativo e dos usuários.

Pergunta 5: Como posso configurar o Express para utilizar cookies httpOnly?

Resposta: Para configurar o Express para utilizar cookies httpOnly, você precisa adicionar a opção httpOnly ao objeto de cookie. Por exemplo:

res.cookie('token', token, {
  httpOnly: true,
  secure: true,
  maxAge: 3600000 // 1 hora
});

Pergunta 6: Qual é a diferença entre um cookie secure e um cookie não secure?

Resposta: Um cookie secure é um cookie que só pode ser enviado sobre uma conexão segura (HTTPS). Isso é feito para proteger a segurança do aplicativo e dos usuários. Um cookie não secure pode ser enviado sobre qualquer tipo de conexão.

Pergunta 7: Como posso configurar o Express para utilizar cookies secure?

Resposta: Para configurar o Express para utilizar cookies secure, você precisa adicionar a opção secure ao objeto de cookie. Por exemplo:

res.cookie('token', token, {
  httpOnly: true,
  secure: true,
  maxAge: 3600000 // 1 hora
});

Pergunta 8: Qual é a diferença entre um cookie maxAge e um cookie sem maxAge?

Resposta: Um cookie maxAge é um cookie que tem um tempo de vida definido. Isso significa que o cookie será removido após o tempo de vida definido. Um cookie sem maxAge é um cookie que não tem um tempo de vida definido e permanecerá no navegador até que o usuário o remova.

Pergunta 9: Como posso configurar o Express para utilizar cookies maxAge?

Resposta: Para configurar o Express para utilizar cookies maxAge, você precisa adicionar a opção maxAge ao objeto de cookie. Por exemplo:

res.cookie('token', token, {
  httpOnly: true,
  secure: true,
  maxAge: 3600000 // 1 hora
});

Pergunta 10: Qual é a melhor prática para armazenar tokens JWT em cookies?

Resposta: A melhor prática para armazenar tokens JWT em cookies é utilizar cookies httpOnly, secure e maxAge. Isso garante que o token JWT seja armazenado de forma segura e que seja removido após o tempo de vida definido. Além disso, é importante utilizar um algoritmo de criptografia seguro para armazenar o token JWT.