Passport.js中req.user泄露是否安全？能否用于个人资料页标识？

1. req.user变量泄露是否安全？ #

安全与否完全看你序列化到req.user里的内容。Passport.js的req.user是你在serializeUser方法里决定存什么的：

• 如果只存非敏感数据（比如会员编号、公开用户名），就算泄露也没任何风险；
• 如果不小心把密码哈希、用户手机号、邮箱这类敏感信息塞进去了，泄露就会导致用户隐私暴露，绝对不安全。
  建议只把必要的、非敏感的用户标识数据放到req.user里，比如会员ID，其他敏感信息从数据库按需获取就行。

2. 能否将会员编号设为req.user用作昵称或用户标识？ #

完全可以。只要你的业务里会员编号是唯一且可公开的用户标识，直接把会员编号序列化到req.user里一点问题都没有。
不过要注意两个细节：

• 如果会员编号是自增整数，可能会无意间暴露平台的用户规模（比如编号124102515说明至少有一千多万用户），如果这对你来说不是问题，就不用管；如果想隐藏用户规模，可以换成UUID这类非自增的ID；
• 如果用户需要自定义昵称，那会员编号可以作为底层唯一标识，昵称作为展示字段分开存储，但用会员编号当req.user依然可行。

3. 个人资料页用sitename.com/profile/[会员编号]是否可行？ #

这个方案是可行的，但要留意两个核心问题：

• 权限校验必须做足：访问/profile/:userId的时候，一定要判断当前登录用户是否有权查看该页面。比如只有当req.user.id === req.params.userId时才允许访问，或者如果是公开资料，也要确认该用户设置了允许公开访问，防止攻击者通过遍历编号查看所有用户的隐私内容；
• 连续编号的遍历风险：如果会员编号是连续的整数，攻击者可以通过修改URL里的编号轻松遍历所有用户。如果你的资料页有非公开内容，这个风险必须通过严格的权限校验来规避；如果都是公开内容，那这个风险可以忽略。

内容的提问来源于stack exchange，提问作者Jaemin Ryu