Node中使用JWT实现Token认证

为什么使用JWT？

随着技术的发展，分布式web应用的普及，通过session管理用户登录状态成本越来越高，因此慢慢发展成为token的方式做登录身份校验，然后通过token去取redis中的缓存的用户信息，随着之后jwt的出现，校验方式更加简单便捷化，无需通过redis缓存，而是直接根据token取出保存的用户信息，以及对token可用性校验，单点登录更为简单。这里还有一个在线的的JWT生成器

 

 

 什么时候你应该用JSON Web Tokens

下列场景中使用JSON Web Token是很有用的：

• Authorization (授权) : 这是使用JWT的最常见场景。一旦用户登录，后续每个请求都将包含JWT，允许用户访问该令牌允许的路由、服务和资源。单点登录是现在广泛使用的JWT的一个特性，因为它的开销很小，并且可以轻松地跨域使用。
• Information Exchange (信息交换) : 对于安全的在各方之间传输信息而言，JSON Web Tokens无疑是一种很好的方式。因为JWTs可以被签名，例如，用公钥/私钥对，你可以确定发送人就是它们所说的那个人。另外，由于签名是使用头和有效负载计算的，您还可以验证内容没有被篡改。

 

JSON Web Token的结构是什么样的

JSON Web Token由三部分组成，它们之间用圆点(.)连接。这三部分分别是：

• Header
• Payload
• Signature

因此，一个典型的JWT看起来是这个样子的：

xxxxx.yyyyy.zzzzz

接下来，具体看一下每一部分：

Header

header典型的由两部分组成：token的类型（“JWT”）和算法名称（比如：HMAC SHA256或者RSA等等）。

例如：

然后，用Base64对这个JSON编码就得到JWT的第一部分

Payload

JWT的第二部分是payload，它包含声明（要求）。声明是关于实体(通常是用户)和其他数据的声明。声明有三种类型: registered, public 和 private。

• Registered claims : 这里有一组预定义的声明，它们不是强制的，但是推荐。比如：iss (issuer), exp (expiration time), sub (subject), aud (audience)等。
• Public claims : 可以随意定义。
• Private claims : 用于在同意使用它们的各方之间共享信息，并且不是注册的或公开的声明。

下面是一个例子：

对payload进行Base64编码就得到JWT的第二部分

注意，不要在JWT的payload或header中放置敏感信息，除非它们是加密的。

 

Signature

为了得到签名部分，你必须有编码过的header、编码过的payload、一个秘钥，签名算法是header中指定的那个，然对它们签名即可。

例如：

HMACSHA256(base64UrlEncode(header) + "." + base64UrlEncode(payload), secret)

签名是用于验证消息在传递过程中有没有被更改，并且，对于使用私钥签名的token，它还可以验证JWT的发送方是否为它所称的发送方。

看一张官网的图就明白了：

JSON Web Tokens是如何工作的

1. 应用（或者客户端）想授权服务器请求授权。例如，如果用授权码流程的话，就是/oauth/authorize
2. 当授权被许可以后，授权服务器返回一个access token给应用
3. 应用使用access token访问受保护的资源（比如：API）

 

官网》https://jwt.io/

jwt全称json web token 。jwt.io是用于令牌签名/验证的库，用来生成jwt。简单理解一下，就是 jwt.io这个库，提供了一种方法可以将一些信息加密，形成一串长长的字符串，类似于'eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c'

这个长长的字符串我们称之为令牌（jwt），其用于客户端与服务器端两端之间的身份验证。

举个例子，用户在登录一个系统时，如果登录成功，服务器端会将用户信息（例如用户id）加密形成一个长长的字符串，即jwt，发送回客户端。客户端将jwt进行妥善保管。之后进行所有跟用户身份有关的操作，客户端都需要提供jwt（我们一般把jwt放入请求头），供服务器端验证身份，服务器端拿到jwt进行解密就能获得加密前的数据，就能判断用户身份是否正确。

不同语言的jwt.io库有所不同，在nodejs中是jsonwebtoken

根据其基本用法可以封装一个简单的加密解密工具函数，用来识别用户。

（当然，根据业务需要可以进行更复杂的封装）

const jwt = require('jsonwebtoken');
const Token = {
  encrypt: function (data, time) { //data加密数据，time过期时间
    return jwt.sign(data, 'token', { expiresIn: time })
  },
  decrypt: function (token) {
    try {
      let data = jwt.verify(token, 'token');
      return {
        token: true,
        id: data.id
      };
    } catch (e) {
      return {
        token: false,
        data: e
      }
    }
  }
}

module.exports = Token;
1. 首先安装jsonwebtoken

npm install jsonwebtoken

2. 引入jsonwebtoken

const jwt = require('jsonwebtoken');

3. encrypt加密函数

jsonwebtoken提供了一个函数sign用于加密生成jwt,格式jwt.sign(data,str,options)

参数data 表示要加密的数据

参数str 自定义字符串，这个字符串在解密时需要用到，在这里我随便写了一个‘token’。这相当于一个密钥secret，服务器端需要妥善保管。

参数options 其他内容，可以设置令牌有效时间{expiresIn:time}。time的取值，'15d'表示15天,'2h'表示2小时，……

4.decrypt解密函数

jsonwebtoken提供了一个函数verify用于解密jwt,格式jwt.verify(token,str)

参数token 表示需要解密的令牌

参数str 表示加密时用到的自定义字符串，即密钥

5.用法

const Token = require('../utils/token')

//code……

const token = Token.encrypt({id:user.id},'15d'); //将user.id加密，设置有效期15天，返回token

//code……



//解密
let data = Token.decrypt(ctx.header.authorization); //将请求头的token取出解密
if (data.token) {
//有效token
}else{
//无效token
}