Разработка клиент-серверного приложения с помощью Next.js и TypeScript. Часть 1. Разработка сервера

[savostin]

// извлекаем ID пользователя из названия файла
const userId = req.file.filename.split('.')[0]
const user = await prisma.user.update({
where: { id: userId },

У меня для Вас плохие новости...

[savostin]

postsHandler.post(async (req, res) => {
const data: Pick<Post, 'title' | 'content' | 'authorId'> = JSON.parse(
req.body
)

try {
const post = await prisma.post.create({
data
})

Что ж Вы так уверены в благонадежности клиента...

[savostin]

Короче, Вы в authGuard токен проверили, а вот информацию из него дальше не передали. Поэтому все userID/authorID, взятые из запросов - явная дыра в безопасности. Эти ID должны прийти из middleware authGuard, а не из запроса.

[aio350]

Вы правы, спасибо, пофиксил + добавил уникальные сочетания полей для моделей Post и Like.

[savostin]

Можно еще запретить лайкать свои посты ;)