Комментарии 5
// извлекаем ID пользователя из названия файла
const userId = req.file.filename.split('.')[0]
const user = await prisma.user.update({
where: { id: userId },
У меня для Вас плохие новости...
+3
postsHandler.post(async (req, res) => {
const data: Pick<Post, 'title' | 'content' | 'authorId'> = JSON.parse(
req.body
)try {
const post = await prisma.post.create({
data
})
Что ж Вы так уверены в благонадежности клиента...
0
Короче, Вы в authGuard токен проверили, а вот информацию из него дальше не передали. Поэтому все userID/authorID, взятые из запросов - явная дыра в безопасности. Эти ID должны прийти из middleware authGuard, а не из запроса.
+2
Только полноправные пользователи могут оставлять комментарии. Войдите, пожалуйста.
Разработка клиент-серверного приложения с помощью Next.js и TypeScript. Часть 1. Разработка сервера