什么是jwt

这个文章已经解释得很清楚了传送门

jwt和session的区别

session：一般用于服务端存储信息，其生命周期会随服务器重启而终止，或者由代码清除。 常常用于web应用登录状态的保存，但是在ios/android应用中，网络请求不包含session信息，因此服务端session无法使用，这是就产生了token。 token：作为用户状态的凭证。用户登录成功后，服务端生成一条token信息，该token可以包含用户id，过期时间等信息，经过加密算法返回给客户端，客户端访问时将该token带上，服务端做权限校验。

废话少说，直接上代码

auth.service.js核心代码，用于生成token和验证token： 1、安装express-jwt github地址 2、定义产生token方法，role为附加信息，用来做角色权限控制 config.secrets.session为密钥，一个字符串。

module.exports.signToken = (id, role) => {
    return jwt.sign({_id: id, role}, config.secrets.session, {
        expiresIn: 60 * 60 * 5 // 过期时间 表示5小时过期
    })
}

3、定义验证token方法isAuthenticated，以下是截取部分关键代码。

// 从请求头获取token
var token = req.headers.authorization.split('Bearer ')[1]
      // 查找数据库是否有该token
      UserController.findByToken(token).then((user) => {
      if (user) {
       //验证token是否过期
         validateJwt(req, res, next);
       }else{
         return res.status(401).end();
      }
 })

开发登录和权限验证功能： 1、定义登录方法

module.exports.login = (req, res) => {
  var loginId = req.body.loginId
  var password = req.body.password
  let token
// 数据库查找用户
  return User.findOne({ loginId: loginId }).exec()
    .then(user => {
   // 验证密码是否正确
      if (user && user.authenticate(password)) {
   // 产生token
        token = jwt.sign({ _id: user._id }, config.secrets.session, {
          expiresIn: 60 * 60 * 5
        })
        user.token = token
        var updateUser = JSON.parse(JSON.stringify(user))
        delete updateUser._id
        User.findOneAndUpdate({ _id: user._id }, updateUser).exec()
        // 返回给客户端
        res.status(200).json({ token }).end()
      } else {
        return res.status(401).end()
      }
    })
}

2、验证用户身份，参考auth.service.js isAuthenticated方法

问题来了

如何刷新token? express-jwt这个库没有提供刷新token过期时间的方法，因此我们需要后端重新创建token，让客户端更新token。为了保证安全性，我们不能因token失效就刷新，那这样token就有可能被黑客嗅探利用。 因此，解决方案应该是当token过期时间小于一小时，后端返回新的token，token放在返回头，当前端发现返回头带有token信息，即更新token。 当token已经过期，就返回401，提示用户重新登录。

项目源码 github地址

项目演示