JWT基础鉴权
Web安全是Web应用中非常重要的一环，主要由后端和服务器承担安全保障
面对请求源，后端有着各种各样的鉴权机制: session,cookie,token,jwt,OAuth,OAuth2,api-key,signature…
本节以jwt为例，演示一个极简的token鉴权
准备工作
- 拷贝第一节HelloWorld项目
- 安装一种jwt依赖(本节使用jsonwebtoken)
实践
接下来我们使用jsonwebtoken来实现最常见的登录鉴权，登录成功后返回一个token，之后凭借这个token去访问另外的路由
- 首先引入jwt依赖
const jwt = require('jsonwebtoken').default;
- 定义一个密钥
之后我们会利用这个密钥生成token，和检验token
const secret = 'mysecretkey';
- 写个登录时生成token的函数
传入用户名和密码，检验密码，正确就生成一个token
生成token: jwt.sign(标志,密钥,选项(生命周期等))
function getToken(user) {
let token = null;
const payload = {
uname: user.uname,
};
if (user.uname == 'root' && user.passwd == 'root') {
token = jwt.sign(payload, secret, {
expiresIn: '1h' });
}
return token;
}
- 写一个访问时检验token的函数
传入req,res,next，从请求头中取出名字为’token’的一个token，若请求头里不带token则返回请求报告没token，token校验通过了则放行
function checkToken(req, res, next) {
const token = req.headers['token'];
if (!token) return res.status(401).json({
message: 'No token provided.' });
jwt.verify(token, secret, (err, decoded) => {
if (err) return res.status(500).json({
message: 'Failed to authenticate token.' });
req.userId = decoded.id;
next();
});
}
- 编写登录接口
app.post('/login', (req, res) => {
let user = req.body;
let token = getToken(user);
if(token!=null) {
res.send(token);
} else {
res.status(401).send("wrong");
}
});
- 编写一个需要校验token的接口
将token检验函数作为中间件挂载到 /root 路由上
app.get('/root', checkToken, (req, res) => {
res.send('hello root user!');
});
接口测试
尝试用api调试工具先访问 login 接口，利用正确的用户名和密码获取token，然后用得到的token去访问 root 接口