JWT是什么？Node中怎么實(shí)現(xiàn)JWT鑒權(quán)機(jī)制（淺析）

Header.Payload.Signature

Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1c2VybmFtZSI6ImFkbWluIiwiaWF0IjoxNjQ0ODI3NzI2LCJleHAiOjE2NDQ4Mjc3NTZ9.gdZKg9LkPiQZIgNAZ1Mn14GQd9kZZua-_unwHQoRsKE

{ "alg": "HS256", "typ": "JWT" }

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9

{     "sub": "1234567890",     "name": "CoderBin",     "iat": 1516239022 }

eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ

Signature = HMACSHA256(base64Url(header)+.+base64Url(payload),secretKey)

Authorization: Bearer <token>

npm i jsonwebtoken express-jwt

// 導(dǎo)入用于生成 JWT 字符串的包 const jwt = require('jsonwebtoken')  // 導(dǎo)入用戶(hù)將客戶(hù)端發(fā)送過(guò)來(lái)的 JWT 字符串，解析還原成 JSON 對(duì)象的包 const expressJWT = require('express-jwt')

// 這個(gè) secretKey 的是可以是任意的字符串 const secretKey = 'CoderBin ^_^'

// 登錄接口 app.post('/api/login', function (req, res) {   // 將 req.body 請(qǐng)求體中的數(shù)據(jù)，轉(zhuǎn)存為 userinfo 常量   const userinfo = req.body   // 省略登錄失敗情況下的代碼...     // 登錄成功   // 在登錄成功之后，調(diào)用 jwt.sign() 方法生成 JWT 字符串。并通過(guò) token 屬性發(fā)送給客戶(hù)端   const tokenStr = jwt.sign(     { username: userinfo.username },      secretKey,      { expiresIn: '30s' }   )      // 向客戶(hù)端響應(yīng)成功的消息   res.send({     status: 200,     message: '登錄成功！',     token: tokenStr // 要發(fā)送給客戶(hù)端的 token 字符串   }) })

// 1. 使用 app.use() 來(lái)注冊(cè)中間件 app.use(expressJWT({    secret: secretKey,    algorithms: ['HS256']  }).unless({ path: [/^/api//] }))

// 這是一個(gè)有權(quán)限的 API 接口，必須在 Header 中攜帶 Authorization 字段，值為 token，才允許訪(fǎng)問(wèn) app.get('/admin/getinfo', function (req, res) {   // TODO_05：使用 req.user 獲取用戶(hù)信息，并使用 data 屬性將用戶(hù)信息發(fā)送給客戶(hù)端   console.log(req.user);   res.send({     status: 200,     message: '獲取用戶(hù)信息成功！',     data: req.user // 要發(fā)送給客戶(hù)端的用戶(hù)信息   }) })

app.use((err, req, res, next) => {   // 這次錯(cuò)誤是由 token 解析失敗導(dǎo)致的   if (err.name === 'UnauthorizedError') {     return res.send({       status: 401,       message: '無(wú)效的token'     })   }   res.send({     status: 500,     message: '未知的錯(cuò)誤'   }) })

// 導(dǎo)入 express 模塊 const express = require('express') // 創(chuàng)建 express 的服務(wù)器實(shí)例 const app = express()  // TODO_01：安裝并導(dǎo)入 JWT 相關(guān)的兩個(gè)包，分別是 jsonwebtoken 和 express-jwt const jwt = require('jsonwebtoken') const expressJWT = require('express-jwt')   // 允許跨域資源共享 const cors = require('cors') app.use(cors())  // 解析 post 表單數(shù)據(jù)的中間件 const bodyParser = require('body-parser') // 這里用內(nèi)置的中間件也行： app.use(express.urlencoded({ extended: false })) app.use(bodyParser.urlencoded({ extended: false }))  // TODO_02：定義 secret 密鑰，建議將密鑰命名為 secretKey // 這個(gè) secretKey 的是可以是任意的字符串 const secretKey = 'smiling ^_^'  // TODO_04：注冊(cè)將 JWT 字符串解析還原成 JSON 對(duì)象的中間件 // 1. 使用 app.use() 來(lái)注冊(cè)中間件 // 2. express.JWT({ secret: secretKey, algorithms: ['HS256'] }) 就是用來(lái)解析 Token 的中間件 // 2.1 express-jwt 模塊，現(xiàn)在默認(rèn)為 6版本以上，必須加上： algorithms: ['HS256'] // 3. .unless({ path: [/^/api//] }) 用來(lái)指定哪些接口不需要訪(fǎng)問(wèn)權(quán)限 // 4. 注意：只要配置成功了 express-jwt 這個(gè)中間件，就會(huì)自動(dòng)把解析出來(lái)的用戶(hù)信息，掛載到 req.user 屬性上 app.use(expressJWT({ secret: secretKey, algorithms: ['HS256'] }).unless({ path: [/^/api//] }))  // 登錄接口 app.post('/api/login', function (req, res) {   // 將 req.body 請(qǐng)求體中的數(shù)據(jù)，轉(zhuǎn)存為 userinfo 常量   const userinfo = req.body   // 登錄失敗   if (userinfo.username !== 'admin' || userinfo.password !== '000000') {     return res.send({       status: 400,       message: '登錄失敗！'     })   }   // 登錄成功   // TODO_03：在登錄成功之后，調(diào)用 jwt.sign() 方法生成 JWT 字符串。并通過(guò) token 屬性發(fā)送給客戶(hù)端   // 參數(shù) 1：用戶(hù)的信息對(duì)象   // 參數(shù) 2：解密的秘鑰   // 參數(shù) 3：配置對(duì)象，可以配置 token 的有效期   // 記住：千萬(wàn)不要把密碼加密到 token 字符串中！   const tokenStr = jwt.sign({ username: userinfo.username }, secretKey, { expiresIn: '30s' })   res.send({     status: 200,     message: '登錄成功！',     token: tokenStr // 要發(fā)送給客戶(hù)端的 token 字符串   }) })  // 這是一個(gè)有權(quán)限的 API 接口，必須在 Header 中攜帶 Authorization 字段，值為 token，才允許訪(fǎng)問(wèn) app.get('/admin/getinfo', function (req, res) {   // TODO_05：使用 req.user 獲取用戶(hù)信息，并使用 data 屬性將用戶(hù)信息發(fā)送給客戶(hù)端   console.log(req.user);   res.send({     status: 200,     message: '獲取用戶(hù)信息成功！',     data: req.user // 要發(fā)送給客戶(hù)端的用戶(hù)信息   }) })  // TODO_06：使用全局錯(cuò)誤處理中間件，捕獲解析 JWT 失敗后產(chǎn)生的錯(cuò)誤 app.use((err, req, res, next) => {   // 這次錯(cuò)誤是由 token 解析失敗導(dǎo)致的   if (err.name === 'UnauthorizedError') {     return res.send({       status: 401,       message: '無(wú)效的token'     })   }   res.send({     status: 500,     message: '未知的錯(cuò)誤'   }) })  // 調(diào)用 app.listen 方法，指定端口號(hào)并啟動(dòng)web服務(wù)器 app.listen(8888, function () {   console.log('Express server running at http://127.0.0.1:8888') })