NodeJS 基于 JWT 实现身份验证（token、自动登陆）

JWT 简单的原理介绍

JWT(Json Web Token)是一种身份验证及授权方案，简单的说就是调用端调用 api 时，附带上一个由 api 端颁发的 token，以此来验证调用者的授权信息。

通过一种加密规则（如 HS256）+ secret 生成一串字符串（token），token 字符串中一般含有过期时间和签名信息，根据签名和过期时间，就可以判断当前 token 是否有效。

// newToken是根据 'jwt_secret' 生成的, jws.verify用于校验当前token是否是根据当前secret生成的
console.log(jws.verify(newToken, 'HS256', 'jwt_secret')); // true
console.log(jws.verify(newToken, 'HS256', '-=-=-=')); // false

无论使用哪个 secret 生成的 token，都是可以解析到 payload 的内容的，仅仅只是签名不同，
payload 的常见内容：

{
  uuid: "3455445-acuya7skeasd-iue7",  // token的有效内容
  phone: 133409899625,    // token的有效内容
  expires: 1591066434678, // token的过期时间
},[signature]

根据 expires 判断 token 是否过期，根据 signature 判断当前 token 是否时本人创建，根据这两点就可以判断 token 是否有效了。

更详细的介绍，可参考：https://jwt.io/。

NodeJS 中如何应用 JWT

1. 安装 jsonwebtoken

npm install jsonwebtoken --save

PS: 也可以安装 jws，jsonwebtoken 是基于 jws 进行封装的，简化了使用方式。

2.封装 JWT 函数

import jsonwebtoken from 'jsonwebtoken';
const secret = 'test_key';

export default class JWT {
  public static generate(value: any, expires = '7 days'): string { // value 为传入值， expires为过期时间，这两者都会在token字符串中题先
    try {
      return jsonwebtoken.sign(value, secret, { expiresIn: expires });
    } catch (e) {
      console.error('jwt sign error --->', e);
      return '';
    }
  }

  public static verify(token: string) {
    try {
      return jsonwebtoken.verify(token, secret); // 如果过期将返回false
    } catch (e) {
      console.error('jwt verify error --->', e);
      return false;
    }
  }
}

测试 JWT 方法，开发中建议使用 Jest 等工具写点单元测试，这里就简化了....

const payload = {
  uuid: '3455445-acuya7skeasd-iue7',
  phone: 133409899625,
};
const token = JWT.generate(payload, '12s');
const info = JWT.verify(token);
console.log(token);
console.log(info);
setTimeout(() => {
  console.log('检验过期token');
  const info2 = JWT.verify(token);
  console.log(info2); // false
}, 13000);

/* 
  控制台打印：
  eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1dWlkIjoiMzQ1NTQ0NS1hY3V5YTdza2Vhc2QtaXVlNyIsInBob25lIjoxMzM0MDk4OTk2MjUsImlhdCI6MTU5MDk5MDQwOSwiZXhwIjoxNTkxMDc2ODA5fQ.VEjIlQFEw4arU7jR54M6MYR7KMDx-VAlX_CcfmusKeU
  {
    uuid: '3455445-acuya7skeasd-iue7', // 传入的数据
    phone: 133409899625, // 传入的数据
    iat: 1590990409,
    exp: 1591076809  // 过期时间，不需要我们进行判断jsonwebtoken会帮我们进行过期校验，如果过期会返回false
  } 
*/

3. 封装自动校验的中间件

import { Context, Next } from 'koa';
import { JWT } from '../utils';

const Auth = async (ctx: Context, next: Next) => {
  const { authorization = '' } = ctx.request.header;
  const token = authorization.replace('Bearer ', '');
  const info = JWT.verify(token);
  if (info) {
    ctx.state.info = info; // 将信息存放到 state 中
  } else {
    ctx.throw(401, 'token error');
  }
  await next();
};

export default Auth;

4. 在 router 中使用

import Router from 'koa-router';
import UserController from '../controllers/user';
import Auth from '../middleware/auth'

const router = new Router<DefaultState, Context>({prefix: '/v1.0'});

router.post("/check", Auth, UserController.check); //只有通过 Auth 检测，才会进入 check 函数
router.post("/sendOTP", UserController.sendOTP);

export default router;

5. 在 Controller 中获取校验后的信息

...
async check(ctx: Context) {
  const { mobile, uuid } = ctx.state.info; // 获取 Auth 中传递的数据
  const result = await getInfo(uuid); // 获取数据库中的用户信息，getInfo 是封装的公用方法，这里旧暂略了
  const token = JWT.generate({ mobile, uuid }, '1d'); // 更新 token 时间（生成一条新的 token，旧的 token 任然是可以使用的）
  const data = Object.assign({}, result, { token });
  ctx.body = {
    status：200,
    message: 'Success',
    result: data
  }
}
...

6. 前端传递 token

前端使用 axios 进行数据发送

import axios from 'axios';
axios.defaults.withCredentials = true;

// 将 token 放到拦截器里面处理
axios.interceptors.request.use(function (config) {
  const requestToken = getCookie('token'); // 获取我们存储的 token
  config.headers['Authorization'] = 'Bearer ' + requestToken; // 将 token 放到 header 里面
  config.headers.post['Content-Type'] = 'application/json';
  config.timeout = 60000;
  return config;
});

至此，NodeJS中使用 JWT 就算完成了。。。。