Optimized bcrypt in plain JavaScript with zero dependencies. Compatible to 'bcrypt'.. Latest version: 2.4.3, last published: 8 years ago. Start using bcryptjs in your project by running `npm i bcryptj...

Summary remove bcryptjs from dependencies in backend package regenerate package-lock.json Testing npm install https://chatgpt.com/codex/tasks/task_e_6849b2c01bb88333b362ad1cdffbb14c

Eai devs! Neste post, vou detalhar o passo a passo de como de como implementei a autenticação stateless usando `Node.js` com `TypeScript`, `Express`, `PostgreSQL`, e a dupla `bcryptjs` para hashing de senhas e JSON Web Tokens (`JWT`) para gerenciamento de sessão no meu projeto pessoal. **A Estrutura do Projeto** Para manter o código organizado, dividi a lógica em três partes principais: **1. authRoutes.ts:** Define os endpoints `/register` e `/login`. Sua única responsabilidade é direcionar as requisições para o controller correto. **2. authController.ts:** Contém a regra de negócio. É aqui que validamos os dados, interagimos com o banco e decidimos qual resposta enviar. **3. utils/auth.ts (Abstrato):** Funções complementares para hashear senhas e gerar tokens, para não repetirmos código. Achei que ficou mais organizado desse jeito. **Passo 1: Registro do Usuário e Hashing da Senha** Nunca devemos salvar senhas em texto puro no banco de dados. A primeira etapa é garantir que a senha do usuário seja transformada em um hash irreversível. Para isso, usamos o `bcryptjs`. O controller `authController.ts` cuida desse processo na função `registerUser`: import bcrypt from 'bcryptjs'; // Função conceitual que criei para hashear uma senha async function criarHashSenha(senha: string): Promise<string> { // O 'salt' adicionou uma camada extra de segurança ao hash const salt = await bcrypt.genSalt(10); const hash = await bcrypt.hash(senha, salt); return hash; } // Como eu usei: // const hashDaSenha = await criarHashSenha(senhaDoUsuario); // E então, salvei o `hashDaSenha` no meu banco de dados. A função `hashPassword` em `utils/auth.ts` seria algo simples como: // utils/auth.ts import bcrypt from 'bcryptjs'; export const hashPassword = async (password: string): Promise<string> => { const salt = await bcrypt.genSalt(10); // Gera um "sal" para fortalecer o hash return await bcrypt.hash(password, salt); }; **Passo 2: gerando token de acesso do JWT** Após validar a senha no login com `bcrypt.compare()`, o passo seguinte que implementei foi gerar o token. Um ponto de atenção que tive foi nunca deixar a chave secreta no código. import jwt from 'jsonwebtoken'; // Função conceitual que usei para gerar um token function gerarToken(idDoUsuario: string): string { // 🔑 A chave secreta busquei das minhas variáveis de ambiente! const chaveSecreta = process.env.JWT_SECRET; if (!chaveSecreta) { throw new Error('Chave secreta do JWT não definida!'); } const payload = { id: idDoUsuario }; // Assinei o token com a chave e defini um tempo de expiração return jwt.sign(payload, chaveSecreta, { expiresIn: '1h' // Token expira em 1 hora }); } **Passo 3: Middleware de proteção** Este foi o guardião que implementei para as minhas rotas. Neste exemplo, foquei apenas na lógica de verificação do token, que foi o coração do processo. // Middleware conceitual que criei para proteger as rotas function protegerRota(req: Request, res: Response, next: NextFunction) { const authHeader = req.headers.authorization; if (!authHeader || !authHeader.startsWith('Bearer ')) { // Neguei o acesso se o token não foi fornecido return res.status(401).json({ message: 'Acesso negado: token não fornecido.' }); } try { const token = authHeader.split(' ')[1]; const chaveSecreta = process.env.JWT_SECRET as string; // jwt.verify() validou o token. Se fosse inválido, dispararia um erro. const payloadVerificado = jwt.verify(token, chaveSecreta); next(); // Token válido, liberei o acesso! } catch (error) { // Neguei o acesso se o token era inválido return res.status(401).json({ message: 'Token inválido ou expirado.' }); } } O que acharam? vocês fariam diferente?

Introduction: In an era where data breaches expose millions of credentials daily, storing passwords in plaintext is unforgivable. Bcrypt.js, a JavaScript implementation of the bcrypt password-hashing function, provides a robust defense by converting plaintext passwords into computationally expensive hashes. Unlike traditional hashing algorithms (MD5, SHA), bcrypt incorporates a salt and an adaptive cost factor, making brute-force and rainbow table attacks impractical.

Contagious Interviewキャンペーンの背後にいる北朝鮮の脅威アクターは、先月以降、さらに197個の悪意あるパッケージをnpmレジストリに大量投入し続けています。 Socketによると、これらのパッケージは31,000回以上ダウンロードされており、BeaverTailおよび以前のOtterCookieバージョンの機能を統合したOtterCookieの亜種を配信するよう設計されています。 特定された「ローダー」パッケージの一部は以下の通りです： bcryptjs-node cross-sessions json-oauth node-tailwind react-adparser session-keeper tailwind-magic tailwindcss-forms webpack-loadcss このマルウェアは起動されると、サンドボックスや仮想マシンの回避を試み、マシンのプロファイリングを行い、その後コマンド＆コントロール（C2）チャネルを確立して攻撃者にリモートシェルを提供します。また、クリップボードの内容の窃取、キーストロークの記録、スクリーンショットの取得、ブラウザの認証情報・ドキュメント・暗号通貨ウォレットデータ・シードフレーズの収集などの機能も備えています。 OtterCookieとBeaverTailの区別が曖昧になってきていることは、先月Cisco Talosによって記録されており、スリランカに本社を置く組織に関連するシステムが、偽の就職面接プロセスの一環としてユーザーがNode.jsアプリケーションを実行するよう騙された後に感染した事例と関連しています。 さらなる分析により、これらのパッケージはハードコードされたVercelのURL（"tetrismic.vercel[.]app"）に接続し、その後、脅威アクターが管理するGitHubリポジトリからクロスプラットフォームのOtterCookieペイロードを取得するよう設計されていることが判明しました。配信元となっていたGitHubアカウントstardev0914は、すでにアクセスできなくなっています。 「この持続的な活動ペースにより、Contagious Interviewはnpmを悪用する最も多作なキャンペーンの一つとなっており、北朝鮮の脅威アクターが現代のJavaScriptや暗号通貨中心の開発ワークフローにどれほどツールを適応させているかが示されています」と、セキュリティ研究者のKirill Boychenko氏は述べています。 また、脅威アクターが作成した偽の評価テーマのウェブサイトが、ClickFixスタイルの手順を利用して、カメラやマイクの問題を修正する名目でGolangGhost（別名FlexibleFerretまたはWeaselStore）と呼ばれるマルウェアを配布していることも判明しています。この活動はClickFake Interviewという名称で追跡されています。 Goで書かれたこのマルウェアは、ハードコードされたC2サーバーに接続し、永続的なコマンド処理ループに入り、システム情報の収集、ファイルのアップロード／ダウンロード、OSコマンドの実行、Google Chromeからの情報収集を行います。永続性は、macOSのLaunchAgentを書き込み、ユーザーログイン時にシェルスクリプトで自動実行されることで実現されます。 攻撃チェーンの一部としてインストールされるのは、偽のChromeカメラアクセスプロンプトを表示して欺きを維持するダミーアプリケーションです。その後、Chrome風のパスワードプロンプトを表示し、ユーザーが入力した内容を取得してDropboxアカウントに送信します。 「一部重複はあるものの、このキャンペーンは、偽の身元で正規企業にアクターを潜り込ませることに焦点を当てた他のDPRK ITワーカーの手口とは異なります」とValidinは述べています。「Contagious Interviewは、段階的なリクルートパイプライン、悪意あるコーディング課題、詐欺的な採用プラットフォームを通じて個人を侵害するよう設計されており、求職プロセス自体を武器化しています。」 翻訳元: