jwt在node中的应用
发布于 1 年前 作者 zhengguorong 2999 次浏览 来自 分享

什么是jwt

这个文章已经解释得很清楚了传送门

jwt和session的区别

session:一般用于服务端存储信息,其生命周期会随服务器重启而终止,或者由代码清除。 常常用于web应用登录状态的保存,但是在ios/android应用中,网络请求不包含session信息,因此服务端session无法使用,这是就产生了token。 token:作为用户状态的凭证。用户登录成功后,服务端生成一条token信息,该token可以包含用户id,过期时间等信息,经过加密算法返回给客户端,客户端访问时将该token带上,服务端做权限校验。

废话少说,直接上代码

auth.service.js核心代码,用于生成token和验证token: 1、安装express-jwt github地址 2、定义产生token方法,role为附加信息,用来做角色权限控制 config.secrets.session为密钥,一个字符串。

module.exports.signToken = (id, role) => {
    return jwt.sign({_id: id, role}, config.secrets.session, {
        expiresIn: 60 * 60 * 5 // 过期时间 表示5小时过期
    })
}

3、定义验证token方法isAuthenticated,以下是截取部分关键代码。

// 从请求头获取token
var token = req.headers.authorization.split('Bearer ')[1]
      // 查找数据库是否有该token
      UserController.findByToken(token).then((user) => {
      if (user) {
       //验证token是否过期
         validateJwt(req, res, next);
       }else{
         return res.status(401).end();
      }
 })

开发登录和权限验证功能: 1、定义登录方法

module.exports.login = (req, res) => {
  var loginId = req.body.loginId
  var password = req.body.password
  let token
// 数据库查找用户
  return User.findOne({ loginId: loginId }).exec()
    .then(user => {
   // 验证密码是否正确
      if (user && user.authenticate(password)) {
   // 产生token
        token = jwt.sign({ _id: user._id }, config.secrets.session, {
          expiresIn: 60 * 60 * 5
        })
        user.token = token
        var updateUser = JSON.parse(JSON.stringify(user))
        delete updateUser._id
        User.findOneAndUpdate({ _id: user._id }, updateUser).exec()
        // 返回给客户端
        res.status(200).json({ token }).end()
      } else {
        return res.status(401).end()
      }
    })
}

2、验证用户身份,参考auth.service.js isAuthenticated方法

问题来了

如何刷新token? express-jwt这个库没有提供刷新token过期时间的方法,因此我们需要后端重新创建token,让客户端更新token。为了保证安全性,我们不能因token失效就刷新,那这样token就有可能被黑客嗅探利用。 因此,解决方案应该是当token过期时间小于一小时,后端返回新的token,token放在返回头,当前端发现返回头带有token信息,即更新token。 当token已经过期,就返回401,提示用户重新登录。

项目源码 github地址

项目演示

项目演示

10 回复

配图不错😊

来自酷炫的 CNodeMD

为什么还要查一次数据库?

@hxc1995 同意,为什么还要查token存不存在,怕伪造可以弄个定时器180天随机更新密钥就好了

@hxc1995 @zy445566 当时是为了实现踢人下线的功能,如果别人修改了密码,旧的token还是生效的,用这个功能就可以强制失效旧的token

@zhengguorong jwt里面存密码的hash值不就好了,从jwt拿出来对一次不就好了

“但是在ios/android应用中,网络请求不包含session信息,因此服务端session无法使用,这是就产生了token” 这句话是说,app端无法处理cookie吗?

@Zuckjet 我的理解是cookie是浏览器特有的,APP其实也是可以管理session的,以前做过项目,就是APP直接获取请求头的session id,然后每次请求的时候又带上该值,服务端就用session管理登陆状态。 不过这样子,我感觉用起来不方便,APP开发建议都是无状态连接,就是现在的token

@zy445566 嗯,是个好办法。有时候需求要实现只允许一个端登陆,就要实现踢人下线功能了。所以,具体还是看需求来实现吧

@zhengguorong 那就在jwt里存一份由用户加随机码产生的key,同时保存到redis里,同时redis的key值保存状态,如果key为空或者key值不是正常状态就直接踢掉不就好了

回到顶部