Node如何实现JWT鉴权机制

这篇文章主要介绍“Node如何实现JWT鉴权机制”的相关知识，小编通过实际案例向大家展示操作过程，操作方法简单快捷，实用性强，希望这篇“Node如何实现JWT鉴权机制”文章能帮助大家解决问题。一种技术的出现，就是弥补另一种技术的的缺陷。在JWT出现之前，Session 认证机制需要配合 Cookie 才能实现。由于 Cookie 默认不支持跨域访问，所以，当涉及到前端跨域请求后端接口的时候，需要做很多额外的配置，才能实现跨域 Session 认证。注意：当前端请求后端接口不存在跨域问题的时候，推荐使用 Session 身份认证机制。当前端需要跨域请求后端接口的时候，不推荐使用 Session 身份认证机制，推荐使用 JWT 认证机制。JWT（英文全称：JSON Web Token）是目前最流行的跨域认证解决方案。本质就是一个字符串书写规范，如下图，作用是用来在用户和服务器之间传递安全可靠的信息在目前前后端分离的开发过程中，使用token鉴权机制用于身份验证是最常见的方案，流程如下：服务器当验证用户账号和密码正确的时候，给用户颁发一个令牌，这个令牌作为后续用户访问一些接口的凭证后续访问会根据这个令牌判断用户是否有权限进行访问总结：用户的信息通过 Token 字符串的形式，保存在客户端浏览器中。服务器通过还原 Token 字符串的形式来认证用户的身份。Token，分成了三部分，头部（Header）、载荷（Payload）、签名（Signature），并以.进行拼接。其中头部和载荷都是以JSON格式存放数据，只是进行了编码。格式如下：下面是 JWT 字符串的示例：注意：Bearer 是手动添加的头部信息，必须携带此信息才能解析token ！每个JWT都会带有头部信息，这里主要声明使用的算法。声明算法的字段名为alg，同时还有一个typ的字段，默认JWT即可。以下示例中算法为HS256：因为JWT是字符串，所以我们还需要对以上内容进行Base64编码，编码后字符串如下：载荷即消息体，这里会存放实际的内容，也就是Token的数据声明，例如用户的id和name，默认情况下也会携带令牌的签发时间iat，通过还可以设置过期时间，如下：同样进行Base64编码后，字符串如下：签名是对头部和载荷内容进行签名，一般情况，设置一个secretKey，对前两个的结果进行HMACSHA25算法，公式如下：一旦前面两部分数据被篡改，只要服务器加密用的密钥没有泄露，得到的签名肯定和之前的签名不一致客户端收到服务器返回的 JWT 之后，通常会将它储存在 localStorage 或 sessionStorage 中。此后，客户端每次与服务器通信，都要带上这个 JWT 的字符串，从而进行身份认证。推荐的做法是把 JWT 放在 HTTP 请求头的 Authorization 字段中，格式如下：Token 的使用分成了两部分：生成token：登录成功的时候，颁发token验证token：访问某些资源或者接口时，验证token接下来就在 node+express 环境下带大家实现jwt鉴权，最后有完整代码加注释，可以直接免费云主机、域名看最后的代码运行如下命令，安装如下两个 JWT 相关的包：其中：jsonwebtoken 用于生成 JWT 字符串express-jwt 用于验证token，将 JWT 字符串解析还原成 JSON 对象在app.js中为了保证 JWT 字符串的安全性，防止 JWT 字符串在网络传输过程中被别人破解，我们需要专门定义一个用于加密和解密的 secret 密钥：当生成 JWT 字符串的时候，需要使用 secret 密钥对用户的信息进行加密，最终得到加密好的 JWT 字符串当把 JWT 字符串解析还原成 JSON 对象的时候，需要使用 secret 密钥进行解密调用 jsonwebtoken 包提供的 sign() 方法，将用户的信息加密成 JWT 字符串，响应给客户端：参数 1：用户的信息对象参数 2：解密的秘钥参数 3：配置对象，可以配置 token 的有效期注意：千万不要把密码加密到 token 字符串中！客户端每次在访问那些有权限接口的时候，都需要主动通过请求头中的 Authorization 字段，将 Token 字符串发送到服务器进行身份认证。此时，服务器可以通过 express-jwt 这个中间件，自动将客户端发送过来的 Token 解析还原成 JSON 对象：express.JWT({ secret: secretKey, algorithms: ['HS256'] }) 就是用来解析 Token 的中间件express-jwt 模块，现在默认为 6版本以上，必须加上： algorithms: ['HS256']注意：只要配置成功了 express-jwt 这个中间件，就会自动把解析出来的用户信息，挂载到 req.user 属性上注意：secret 必须和 sign 时候保持一致可以通过 unless 配置接口白名单，也就是哪些 URL 可以不用经过校验，像登陆/注册都可以不用校验校验的中间件需要放在需要校验的路由前面，无法对前面的 URL 进行校验当 express-jwt 这个中间件配置成功之后，即可在那些有权限的接口中，使用 req.user 对象，来访问从 JWT 字符串中解析出来的用户信息了，示例代码如下：当使用 express-jwt 解析 Token 字符串时，如果客户端发送过来的 Token 字符串过期或不合法，会产生一个解析失败的错误，影响项目的正常运行。我们可以通过 Express 的错误中间件，捕获这个错误并进行相关的处理，示例代码如下:app.js借助 postman 工具测试接口关于“Node如何实现JWT鉴权机制”的内容就介绍到这里了，感谢大家的阅读。如果想了解更多行业相关的知识，可以关注云技术行业资讯频道，小编每天都会为大家更新不同的知识点。

相关推荐: jquery如何动态移除js

今天小编给大家分享一下jquery如何动态移除js的相关知识点，内容详细，逻辑清晰，相信大部分人都还太了解这方面的知识，所以分享这篇文章给大家参考一下，希望大家阅读完这篇文章后有所收获，下面我们一起来了解一下吧。 JQuery是一免费云主机、域名个广泛使用的J…