Backend - First commit

[DannyOhDanny]

Бэкэнд для проекта movies explorer

[adzhenalieva]

Резюме:

Backend

Критерии, влияющие на работоспособность

• [ ] В репозитории есть все необходимые инфраструктурные файлы:
  • [x] в проекте есть package.json;
  • [x] .editorconfig;
  • [x] .eslintrc, расширяющий конфигурацию airbnb-base, а также необходимые для работы линтера dev-зависимости;
  • [x] .gitignore.
  • [ ] в .eslintrc добавлено исключение для _id. Директивы eslint-disable, eslint-disable-line и eslint-disable-next-line запрещены.
  • _Использовать другие исключения в настройках линтера, кроме  _id запрещается: , задание не предполагает дургих исключений кроме _id_
  • _https://disk.yandex.ru/i/ned6II_IJ_3efw использовать подобные директивы запрещено_
• [ ] Нет ошибок линтера. При выполнении команды npx eslint . они должны отсутствовать. https://disk.yandex.ru/i/6IJnjqMG89OdQQ следует исправить ошибки линтера
• [x] В разделе scripts файла package.json есть команды:
  • [x] npm run start, которая запускает сервер на localhost:3000;
  • [x] npm run dev, которая запускает сервер на localhost:3000 с хот релоудом.
• [ ] Описанные роуты работают корректно:
  • [x] запрос на GET /users/me возвращает информацию о пользователе (email и имя);
  • [x] PATCH /users/me — обновляет информацию о пользователе;
  • [ ] GET /movies — все сохранённые пользователем фильмы; При запросе фильмов, следует в качестве фильтра указать поле owner, чтобы выгрузились только фильмы, сохраненные пользователем. Пример: https://disk.yandex.ru/i/hPiVNFiDueIGjg
  • [x] POST /movies — создаёт фильм с переданными в теле данными;
  • [x] DELETE /movies/movieId — удаляет сохранённый фильмы по _id;
  • [x] POST /signup — создаёт пользователя с переданными в теле данными;
  • [x] POST /signin — возвращает JWT, если в теле запроса переданы правильные почта и пароль.
  • [x] Если вы сохраняете JWT в куках, роут /signout должен удалять JWT из куки.
• [ ] Пользователь не может удалить сохранённый фильм из профиля другого пользователя. Следует исправить метод удаления, так при такой реализации фильм удалится в любом случае, так как используется метод findByIdAndRemove. Нужно удаление производить в два этапа а) поиск фильма и сравнение автора - findById б) удаление фильма по полученному результату промиса - например, deleteOne
• [ ] Все роуты, кроме /signin и /signup, защищены авторизацией. Роут неизвестного маршрута также следует защитить авторизацией, так как все роуты кроме логина и регистрации, должны быть защищены авторизацией
• [x] Роуты пользователей и роуты фильмов описаны в отдельных файлах.
• [x] Ошибки API обрабатываются:
  • [x] используются статус-коды ошибок: 400, 401, 403, 404, 409, 500;
  • [x] если в запросе что-то не так, сервер возвращает статус ответа, который соответствует типу ошибки;
  • [x] сообщение об ошибке соответсвует ее типу;
  • [x] асинхронные обработчики завершены блоком catch;
  • [x] API не возвращает стандартных ошибок базы данных или Node.js.
• [x] Реализовано бережное хранение пароля:
  • [x] пароль хранится в виде хеша;
  • [x] API не возвращает хеш пароля клиенту.
• [ ] Валидация реализована верно:
  • [ ] Запрос валидируется перед передачей контроллеру. Тело и, где необходимо, заголовки и параметры проверяются по соответствующим схемам. Если запрос не соответствует схеме, обработка не передаётся контроллеру, и клиент получает ошибку валидации. Валидатор uri для валидации ссылок в joi, к сожалению, пропускает некорректные значения, в частности http//:test. Валидировать ссылки нужно не просто как строку, но можно таким образом: Joi.string().pattern("Ваше регулярное выражение") либо использовать кастомный валидатор Joi custom. Подробнее тут https://github.com/sideway/joi/blob/master/API.md#anyvalidatevalue-options.
  • [x] Данные валидируются перед добавлением в базу.
• [x] В production-режиме адрес базы данных берётся из process.env.
• [x] К серверу можно обратиться по https по адресу домена, указанному в README.md.
• [x] Правильно реализовано хранение секретного ключа для создания JWT:
  • [x] для продакшн сборки он хранится в .env файле — этот файл не добавляется в git;
  • [x] в режиме разработки (при process.env.NODE_ENV !== 'production') код запускается и работает и без .env файла.

Хорошие практики

• [x] Все роуты подключены в файле index.js, который находится в папке routes. Оттуда единый роут подключается в файле app.js.
• [x] Асинхронные операции реализованы промисами или async/await.
• [x] Валидация описана в отдельном модуле.
• [x] Настроено логгирование:
  • [x] запросы и ответы записываются в файл request.log;
  • [x] ошибки записываются в файл error.log;
  • [x] файлы логов не добавляются в репозиторий.
• [ ] Ошибки обрабатываются централизованным обработчиком. Задача централизованного обработчика ошибок - отправить сообщение клиенту в соответствии с типом ошибки. Если статус ошибки неизвестен, то по умолчанию отправляется "500 Ошибка сервера". Централизованный обработчик ошибок не должен включать в себя условия с проверкой имени или кода ошибки. Если есть необходимость сообщить об ошибке 400, нужно в контроллерах в блоке catch осуществить проверку на "err.name === 'ValidationError'", вызвать класс ошибки 400 и пробросить эту ошибку дальше, чтобы централизованный обработчик ошибок перехватил её и отправил на клиент (аналогично с другими ошибками). Пример: https://disk.yandex.ru/i/-W7aKKpLcQzvmA Для этого, необходимо для каждого кода ошибки (401, 404 и т.д.) создать классы ошибок (Пример: https://disk.yandex.ru/i/ouKCcSX6CyiMcQ), а затем использовать их в методах через next либо throw. Пример: https://disk.yandex.ru/i/x75kK7fOHGfFUA
• [x] Централизованный обработчик ошибок описан в отдельном модуле.
• [x] API размещено на отдельном поддомене, например api.movies-explorer.nomoreparties.co или API приложения располагается на домене вида: name.zone/api, а не просто name.zone

Рекомендации

• [ ] Для ошибок API созданы классы, расширяющие конструктор Error. Согласно чек листу Для ошибок созданы классы конструкторы ошибок, наследуемые от Error;. Т.е. для каждого статус кода, который будет использоваться в проекте, следует реализовать отдельный класс ошибки Пример: https://disk.yandex.ru/i/FnBLqIM6fhkviw
• [x] Используется модуль Helmet для установки заголовков, связанных с безопасностью.
• [ ] Конфигурация и константы в отдельных файлах:
  • [x] адрес Mongo-сервера в режиме разработки вынесен в отдельный конфигурационный файл;
  • [ ] сообщения ответов и ошибок (константы приложения) вынесены в отдельный файл с константами.
• [x] Настроен rate limiter: число запросов с одного IP в единицу времени ограничено.
• [x] Rate limiter сконфигурирован в отдельном файле и импортируется в app.js.
• [x] Для имени базы данных используется bitfilmsdb.

Количество баллов: 53

Доп. Комментарии:

[adzhenalieva]

Резюме:

Backend

Критерии, влияющие на работоспособность

• [x] В репозитории есть все необходимые инфраструктурные файлы:
  • [x] в проекте есть package.json;
  • [x] .editorconfig;
  • [x] .eslintrc, расширяющий конфигурацию airbnb-base, а также необходимые для работы линтера dev-зависимости;
  • [x] .gitignore.
  • [x] в .eslintrc добавлено исключение для _id. Директивы eslint-disable, eslint-disable-line и eslint-disable-next-line запрещены.
• [x] Нет ошибок линтера. При выполнении команды npx eslint . они должны отсутствовать.
• [x] В разделе scripts файла package.json есть команды:
  • [x] npm run start, которая запускает сервер на localhost:3000;
  • [x] npm run dev, которая запускает сервер на localhost:3000 с хот релоудом.
• [x] Описанные роуты работают корректно:
  • [x] запрос на GET /users/me возвращает информацию о пользователе (email и имя);
  • [x] PATCH /users/me — обновляет информацию о пользователе;
  • [x] GET /movies — все сохранённые пользователем фильмы;
  • [x] POST /movies — создаёт фильм с переданными в теле данными;
  • [x] DELETE /movies/movieId — удаляет сохранённый фильмы по _id;
  • [x] POST /signup — создаёт пользователя с переданными в теле данными;
  • [x] POST /signin — возвращает JWT, если в теле запроса переданы правильные почта и пароль.
  • [x] Если вы сохраняете JWT в куках, роут /signout должен удалять JWT из куки.
• [x] Пользователь не может удалить сохранённый фильм из профиля другого пользователя.
• [x] Все роуты, кроме /signin и /signup, защищены авторизацией.
• [x] Роуты пользователей и роуты фильмов описаны в отдельных файлах.
• [x] Ошибки API обрабатываются:
  • [x] используются статус-коды ошибок: 400, 401, 403, 404, 409, 500;
  • [x] если в запросе что-то не так, сервер возвращает статус ответа, который соответствует типу ошибки;
  • [x] сообщение об ошибке соответсвует ее типу;
  • [x] асинхронные обработчики завершены блоком catch;
  • [x] API не возвращает стандартных ошибок базы данных или Node.js.
• [x] Реализовано бережное хранение пароля:
  • [x] пароль хранится в виде хеша;
  • [x] API не возвращает хеш пароля клиенту.
• [x] Валидация реализована верно:
  • [x] Запрос валидируется перед передачей контроллеру. Тело и, где необходимо, заголовки и параметры проверяются по соответствующим схемам. Если запрос не соответствует схеме, обработка не передаётся контроллеру, и клиент получает ошибку валидации.
  • [x] Данные валидируются перед добавлением в базу.
• [x] В production-режиме адрес базы данных берётся из process.env.
• [x] К серверу можно обратиться по https по адресу домена, указанному в README.md.
• [x] Правильно реализовано хранение секретного ключа для создания JWT:
  • [x] для продакшн сборки он хранится в .env файле — этот файл не добавляется в git;
  • [x] в режиме разработки (при process.env.NODE_ENV !== 'production') код запускается и работает и без .env файла.

Хорошие практики

• [x] Все роуты подключены в файле index.js, который находится в папке routes. Оттуда единый роут подключается в файле app.js.
• [x] Асинхронные операции реализованы промисами или async/await.
• [x] Валидация описана в отдельном модуле.
• [x] Настроено логгирование:
  • [x] запросы и ответы записываются в файл request.log;
  • [x] ошибки записываются в файл error.log;
  • [x] файлы логов не добавляются в репозиторий.
• [x] Ошибки обрабатываются централизованным обработчиком.
• [x] Централизованный обработчик ошибок описан в отдельном модуле.
• [x] API размещено на отдельном поддомене, например api.movies-explorer.nomoreparties.co или API приложения располагается на домене вида: name.zone/api, а не просто name.zone

Рекомендации

• [x] Для ошибок API созданы классы, расширяющие конструктор Error.
• [x] Используется модуль Helmet для установки заголовков, связанных с безопасностью.
• [x] Конфигурация и константы в отдельных файлах:
  • [x] адрес Mongo-сервера в режиме разработки вынесен в отдельный конфигурационный файл;
  • [x] сообщения ответов и ошибок (константы приложения) вынесены в отдельный файл с константами.
• [x] Настроен rate limiter: число запросов с одного IP в единицу времени ограничено.
• [x] Rate limiter сконфигурирован в отдельном файле и импортируется в app.js.
• [x] Для имени базы данных используется bitfilmsdb.

Количество баллов: 100

Доп. Комментарии:

• При запросе фильмов, не следует возвращать ошибку 404, если фильмы не сохранены. Если фильмов нет, то вернется пустой массив со статусом 200
• В контроллере создания фильма проверки на ошибки уникальности почты лишние, их следует удалить, оставив только проверку на ошибку валидации