Node.js 工程化系列：21天筑基期，手把手打造 JWT 鉴权机制

2023-08-24 22:19:10

Node.js JWT 鉴权机制：一步一步实现指南

对于那些对 Node.js 充满热情的程序员来说，掌握 JWT 鉴权机制至关重要。JWT（JSON Web Token）是一种流行的开放标准，用于在网络应用程序之间安全地传递和验证身份信息。今天，我们将深入探讨 Node.js 中 JWT 鉴权机制的实现方法，一步一步地指导您完成整个过程。

什么是 JWT？

想象一下 JWT 就像一个装有重要信息的数字信封。这个信封包括三个部分：

头部： 包含有关 JWT 的元数据，例如算法和令牌类型。
有效载荷： 包含有关用户的信息，例如用户名、角色和到期时间。
签名： 使用秘密密钥对头部和有效载荷进行数字签名，以确保令牌的完整性和真实性。

创建 JWT

创建 JWT 的第一步是使用秘密密钥，这就像一扇只属于你的门锁。您可以使用 Node.js 的 crypto 包生成一个随机密钥：

const crypto = require('crypto');
const secretKey = crypto.randomBytes(16).toString('hex');

接下来，使用 jsonwebtoken 包来创建 JWT：

const jwt = require('jsonwebtoken');

const payload = {
  username: 'admin',
  role: 'admin'
};

const token = jwt.sign(payload, secretKey);

现在，您就有了一个安全的 JWT，可以存储在 cookie 或 localStorage 中，以便需要时使用。

验证 JWT

验证 JWT 时，您需要使用与创建 JWT 时相同的秘密密钥：

const jwt = require('jsonwebtoken');

const token = 'YOUR_TOKEN';
const secretKey = 'YOUR_SECRET_KEY';

const decoded = jwt.verify(token, secretKey);

console.log(decoded);

如果验证通过，则可以从 decoded 对象中获取 JWT 中包含的数据。

代码示例

下面是一个完整的代码示例，演示了 JWT 创建和验证：

const crypto = require('crypto');
const jwt = require('jsonwebtoken');

const secretKey = crypto.randomBytes(16).toString('hex');

const payload = {
  username: 'admin',
  role: 'admin'
};

const token = jwt.sign(payload, secretKey);

const decoded = jwt.verify(token, secretKey);

console.log(decoded);

常见问题解答

JWT 的安全性如何？
JWT 是安全的，因为它使用数字签名来确保令牌的完整性和真实性。只要您保密好秘密密钥，JWT 就无法被伪造或篡改。
JWT 的常见用例是什么？
JWT 常用于用户身份验证、授权和信息交换。
是否可以使用多个密钥来验证 JWT？
是的，您可以使用多个密钥来验证 JWT。这被称为密钥轮换，它可以增强安全性。
JWT 的有效期有多长？
JWT 的有效期由 exp（到期时间）字段定义。过期后，JWT 将无效。
我可以在哪里了解更多关于 JWT 的信息？
您可以在 RFC 7519 中找到有关 JWT 的更多信息：https://datatracker.ietf.org/doc/html/rfc7519