【Express】登录鉴权 JWT

JWT（JSON Web Token）是一种用于实现身份验证和授权的开放标准。它是一种基于JSON的安全传输数据的方式，由三部分组成：头部、载荷和签名。

使用jsonwebtoken模块，你可以在Node.js应用程序中轻松生成和验证JWT。以下是jsonwebtoken库的使用步骤：

1. 安装jsonwebtoken模块：在命令行中运行npm install jsonwebtoken来安装jsonwebtoken模块。

2. 导入jsonwebtoken模块：在你的Node.js应用程序中，使用require语句导入jsonwebtoken模块。

const jwt = require('jsonwebtoken');

3. 生成JWT：使用jsonwebtoken的sign方法生成JWT。该方法接受三个参数：载荷（Payload）、密钥和可选的配置对象。载荷是一个包含有关用户/客户端的信息的对象。

const payload = {userId: '123456789',username: 'example_user'
};const secretKey = 'your_secret_key';const token = jwt.sign(payload, secretKey, { expiresIn: '1h' });

上述代码将生成一个JWT，其中包含了userId和username信息，使用了一个密钥进行签名，并设置了过期时间为1小时。生成的JWT将作为一个字符串存储在token变量中。

4. 验证JWT：使用jsonwebtoken的verify方法验证JWT的有效性。该方法接受三个参数：要验证的JWT、密钥和一个可选的回调函数。

const token = 'your_generated_jwt';jwt.verify(token, secretKey, (err, decoded) => {if (err) {// JWT验证失败console.log('JWT verification failed.');} else {// JWT验证成功console.log('JWT verified successfully.');console.log(decoded); // 解码后的JWT负载}
});

上述代码将验证传入的JWT是否有效，并使用提供的密钥进行签名验证。如果JWT有效，verify方法回调函数中的decoded参数将包含解码后的JWT负载信息。如果JWT无效，则会在回调函数中得到一个错误。

以下是 JWT 的一个简单的封装：

//jsonwebtoken 封装const jsonwebtoken = require("jsonwebtoken")
// 设置密钥
const secret = "anydata"
const JWT = {// 生成 tokengenerate(value,exprires){// value 数据，expires 过期时间return jsonwebtoken.sign(value,secret,{expiresIn:exprires})},// 校验 tokenverify(token){// 放在 try...catch... 中，防止报错try{return jsonwebtoken.verify(token,secret)}catch(error){return false}}
}module.exports = JWT

const token = JWT.generate('xx', '10s')
// eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJkYXRhIjoieHgiLCJpYXQiOjE2OTc0Mzk3MTEsImV4cCI6MTY5NzQzOTcyMX0.vfcaK_tHfbD-58nqcDRopg516jngqWJhw6zr229zACM
// header.数据.签名
console.log(JWT.verify(token))

// node 中间件校验
app.use((req,res,next)=>{// 如果token有效 ,next() // 如果token过期了, 返回401错误if(req.url==="/login"){next()return;}const token = req.headers["authorization"]?.split(" ")[1]if(token){var payload = JWT.verify(token)// console.log(payload)if(payload){const newToken = JWT.generate({_id:payload._id,username:payload.username},"1d")res.header("Authorization",newToken)next()}else{// errCode 和 errInfo 是 network 的 preview 中返回的数据res.status(401).send({errCode:"-1",errInfo:"token过期"})}}
})

 //生成token
const token = JWT.generate({_id: result[0]._id,username: result[0].username
}, "1d")res.header("Authorization", token)

//前端拦截
import axios from 'axios'
// Add a request interceptor
axios.interceptors.request.use(function (config) {const token = localStorage.getItem("token")config.headers.Authorization = `Bearer ${token}`return config;}, function (error) {return Promise.reject(error);});// Add a response interceptor
axios.interceptors.response.use(function (response) {const {authorization } = response.headersauthorization && localStorage.setItem("token",authorization)return response;}, function (error) {const {status} = error.responseif(status===401){// 移除本地失效的 token 值，由于过期而失效localStorage.removeItem("token")window.location.href="/login"}return Promise.reject(error);});

业务逻辑：

1. 后端下载、导入模块 npm i jsonwebtoken
2. 封装生成token、验证token方法
3. 登录接口中将前端提供的字段生成token并放到登录接口响应头中
4. 前端将token存储(并在每个请求的请求头中加入token，请求拦截添加token，响应拦截存储token)
5. 后端设置应用级中间件
   5.1. 排除登录接口、路由
   5.2. 获取前端传过来的请求头并判断状态
   5.2.1. 有token：重新设置token并放在响应头传给前端(刷新过期时间)
   5.2.2. 无token：返回401给前端
6. 前端响应拦截：无401跳转登录页并置空本地token