[官方連結](https://developers.sap.com/tutorials/cp-cf-security-xsuaa-create.html)

本教程的目標是透過身份驗證和授權來保護和部署產品列表應用程式，因此只有具有正確授權的使用者才能獲得身份驗證應用程式中的產品。沒有必要授權的使用者可以登入應用程式，但看不到產品。

本教程的基礎是一個 Node.js 應用程式，它使用 express 框架和 SAPUI5 來顯示產品列表（參見螢幕截圖）。

![](https://img-blog.csdnimg.cn/img_convert/d2abf5e65be670fb49bd4562000f4b2b.png)

# XSUAA and the Application Router

為了保護此產品列表應用程式，使用了兩個元件。 一種稱為 XSUAA 服務，另一種稱為應用路由器。 應用程式路由器與 XSUAA 服務結合使用來驗證使用者並將使用者路由到受保護的應用程式。

XSUAA 扮演 OAuth 授權服務的角色，而應用程式路由器扮演 OAuth 客戶端的角色。 此外，應用路由器充當應用的中央入口點。

為了防止在未經身份驗證的情況下直接呼叫您的應用程式，有必要向您的應用程式新增一些程式碼。 在我們的示例中，您使用 Node.js 護照身份驗證中介軟體並使用 XSUAA JWT 策略對其進行配置。

![](https://img-blog.csdnimg.cn/img_convert/f03a0005394ee0e3b5127ad7cc6c03e3.png)

此程式碼可防止在沒有有效 JWT 的情況下直接呼叫產品列表應用程式。

![](https://img-blog.csdnimg.cn/img_convert/826db9ba22c8f71fbe3f3030e06861ad.png)

checkReadScope 函式確保只有具有正確許可權的使用者才能檢視產品。

If you want to use SAP modules locally, you need to add the npm configuration:

npm config set @sap:registry https://npm.sap.com

approuter 將使您能夠建立到您的應用程式的安全路由。

在 manifest.yaml 中，您必須為應用程式定義主機名並新增目的地。 清單檔案用於將 XSUAA 服務例項繫結到您的應用程式。

使用引數 route 為您的應用程式指定一個特定的主機名。 路由在整個 Cloud Foundry 環境中必須是唯一的，因此請確保向路由新增隨機部分，例如您的姓名首字母和出生日期，如 product-list-ap25 和 approuter-product-list-ap25。 稍後您還需要路由來配置目的地。

![](https://img-blog.csdnimg.cn/img_convert/fcb1fdecde21140cf47d44e0986e1358.png)

name 引數與之前在檔案 xs-app.json 中定義的相同。 url 引數是應用程式主機名和 Cloud Foundry 環境區域 (https://<hostname>.cfapps.<region>.hana.ondemand.com) 的結果。 forwardAuthToken 引數設定為 true 可確保 approuter 將 JWT 令牌轉發到目的地。

![](https://img-blog.csdnimg.cn/img_convert/5bd8431b62d67a826778435d01a943c4.png)

package.json 檔案的依賴：
![](https://img-blog.csdnimg.cn/img_convert/692a6fb669c7faf46b2b96e2d5aa9a81.png)

要使用 XSUAA 服務，需要一個名為 xs-security.json 的檔案。 該檔案可以定義 XSUAA 服務例項的屬性以及不同的角色和授權。 在此示例中，該檔案包含一個角色模板和一個具有產品列表檢視者角色的角色集合，使使用者可以稍後檢視產品。

新建一個 security 資料夾，xs-security.json 檔案內容維護如下：

![](https://img-blog.csdnimg.cn/img_convert/486c4733b3ffa275f493b45b39713597.png)

```json
{
	"xsappname": "product-list",
	"tenant-mode": "dedicated",
	"scopes": [
		{
			"name": "$XSAPPNAME.read",
			"description": "With this scope, USER can read products."
		}
	],

"role-templates": [
		{
			"name": "Viewer",
			"description": "Role to get the list of products",
			"scope-references": [
				"$XSAPPNAME.read"
			]
		}
	],
	"role-collections": [
		{
			"name": "ProductListViewer",
			"description": "Product List Viewer",
			"role-template-references": [
				"$XSAPPNAME.Viewer"
			]
		}
	]
}
```
這將建立一個具有角色模板的角色集合和一個具有閱讀範圍的角色，因此具有此角色的使用者可以檢視產品。

# Prepare the approuter files

approuter 將使您能夠建立到您的應用程式的安全路由。

* 將名為 approuter 的資料夾新增到您的產品列表資料夾中。

* 在該資料夾中建立一個名為 package.json 的檔案。

* 新增以下內容：

```json
{
    "name": "approuter",
    "dependencies": {
        "@sap/approuter": "^9.0.2"
    },
    "scripts": {
        "start": "node node_modules/@sap/approuter/approuter.js"
    }
}
```

xs-app.json 的內容：
![](https://img-blog.csdnimg.cn/img_convert/c2f111e2aca253bc7e7fcbcfe21a5631.png)

```json
{
  "routes": [{
    "source": "^/products",
    "target": "/",
    "destination": "products-destination"
  }]
}
```

這將建立一個名為 products-destination 的目的地。 目的地稍後會在 manifest.yml 中引用。

# Move static content to the application router

出於效能原因，最好將應用程式的影像放入帶有應用程式路由器的靜態資原始檔夾中。

最後應用結構如下：
![](https://img-blog.csdnimg.cn/img_convert/ed930db719377d45fb848ab2c9566426.png)

![](https://img-blog.csdnimg.cn/img_convert/1ad42657605960003bbbd9934da151c0.png)

# Update the manifest file

在清單檔案中，您必須為應用程式定義主機名並新增目的地。 清單檔案用於將 XSUAA 服務例項繫結到您的應用程式。

```yml
applications:
# Application
- name: product-list
  instances: 1
  memory: 128M
  routes:
    - route: product-list-jerry.cfapps.eu10.hana.ondemand.com
  path: myapp
  buildpacks:
    - nodejs_buildpack  
  timeout: 180
  services:
    - xsuaa-service-tutorial

# Application Router
- name: approuter
  routes:
    - route: approuter-product-list-jerry.cfapps.eu10.hana.ondemand.com
  path: approuter
  buildpacks:
    - nodejs_buildpack
  memory: 128M
  services:
    - xsuaa-service-tutorial
  env:
    destinations: >
      [
        {"name":"products-destination",
         "url":"https://product-list-jerry.cfapps.eu10.hana.ondemand.com",
         "forwardAuthToken": true}
      ]
```

# Update the index.html file

因為您使用 /products 透過 approuter 呼叫產品列表，所以您需要在 index.html 檔案中進行一些小的更改。

* 導航到 product-list/myapp/static 資料夾。

* 將 index.html 檔案中的第 24 行替換為以下程式碼。

![](https://img-blog.csdnimg.cn/img_convert/d4a96bf870b966fec5dbaf144b1c3928.png)

# Create the XSUAA service instance

在部署應用程式之前，您需要為 XSUAA 建立服務例項。

* 使用 Cloud Foundry CLI 登入到您的 Cloud Foundry 帳戶。

* 導航到產品列表資料夾。

* 使用 xs-security.json 安全描述符檔案建立 XSUAA 服務例項。

> cf create-service xsuaa application xsuaa-service-tutorial -c security/xs-security.json

最後 cf deploy 部署應用。

# Call your application from its secure route

您的應用程式有兩個在 manifest.yml 中定義的路由。 應用程式的直接路由應該返回一條錯誤訊息，指出未經授權（因為您還沒有有效的 JWT）。 透過 approuter 的安全路由重定向到登入螢幕。 登入後，應用程式開啟但顯示訊息無資料。 要檢視產品資料，您需要為您的使用者分配具有必要授權的角色集合。

首先確保無法透過其直接 URL 訪問您的應用程式：

https://product-list-ap25.cfapps.eu10.hana.ondemand.com

如果一切正常，這將導致讀取未經授權的錯誤訊息。

使用應用程式路由器的安全路由導航到您的應用程式：

https://approuter-product-list-ap25.cfapps.eu10.hana.ondemand.com/products

輸入您的試用帳戶的電子郵件和密碼。

您應該會看到 no data 訊息。 這是因為您尚未分配檢視產品的角色。 您將在下一步中執行此操作。

# Assign the role collection

為您的使用者分配包含檢視產品列表中產品所需角色的角色集合。

* 開啟 SAP BTP 主控室。導航到您的子帳戶。

* 選擇安全選項卡，然後選擇信任配置。選擇預設身份提供者。

* 輸入您的電子郵件地址並選擇顯示作業。

* 選擇分配角色集合。選擇 ProductListViewer 角色集合。

再次呼叫 approuter 的 URL（您之前可能必須刪除您的 cookie/快取）。

https://approuter-product-list-ap25.cfapps.eu10.hana.ondemand.com/products

該應用程式現在將向您展示產品：

![](https://img-blog.csdnimg.cn/img_convert/18b94ad2d2fa0f3ec074abca5ccb3c0a.png)</region></hostname>

如何為部署到 SAP BTP 平臺上的 Node.js 應用提供Authorization 和 Trust 管理

相關文章