Express 中如何使用 JWT (JSON Web Tokens) 进行身份验证？-JavaScript中文网-JavaScript教程资源分享门户

推荐答案

在 Express 中使用 JWT 进行身份验证的步骤如下：

安装依赖：首先，安装 jsonwebtoken 和 express 包：
```
npm install jsonwebtoken express
```

生成 JWT：在用户登录成功后，生成一个 JWT 并返回给客户端：

// www.javascriptcn.com code example
const jwt = require('jsonwebtoken');
const express = require('express');
const app = express();

app.use(express.json());

app.post('/login', (req, res) => {
    const { username, password } = req.body;
    // 假设验证成功
    const user = { id: 1, username: 'testuser' };
    const token = jwt.sign({ user }, 'your-secret-key', { expiresIn: '1h' });
    res.json({ token });
});

app.listen(3000, () => {
    console.log('Server is running on port 3000');
});

验证 JWT：创建一个中间件来验证 JWT：

// www.javascriptcn.com code example
function authenticateToken(req, res, next) {
    const authHeader = req.headers['authorization'];
    const token = authHeader && authHeader.split(' ')[1];
    if (token == null) return res.sendStatus(401);

    jwt.verify(token, 'your-secret-key', (err, user) => {
        if (err) return res.sendStatus(403);
        req.user = user;
        next();
    });
}

保护路由：使用 authenticateToken 中间件来保护需要身份验证的路由：

app.get('/protected', authenticateToken, (req, res) => {
    res.json({ message: 'This is a protected route', user: req.user });
});

本题详细解读

JWT 简介

JWT（JSON Web Token）是一种开放标准（RFC 7519），用于在各方之间安全地传输信息作为 JSON 对象。JWT 通常用于身份验证和信息交换。

JWT 结构

JWT 由三部分组成，用点（.）分隔：

Header：包含令牌类型和使用的哈希算法。
Payload：包含声明（claims），通常是用户信息和其他数据。
Signature：用于验证令牌是否被篡改。

JWT 工作流程

用户登录：用户提供凭据（如用户名和密码），服务器验证凭据并生成 JWT。
返回 JWT：服务器将 JWT 返回给客户端，客户端通常将其存储在本地存储或 cookie 中。
请求验证：客户端在后续请求中携带 JWT，服务器验证 JWT 并允许或拒绝请求。

代码解析

生成 JWT：使用 jwt.sign 方法生成 JWT，expiresIn 选项设置令牌的有效期。
验证 JWT：使用 jwt.verify 方法验证 JWT 的有效性，如果验证成功，将用户信息附加到请求对象上。
保护路由：通过中间件 authenticateToken 来保护需要身份验证的路由，确保只有携带有效 JWT 的请求才能访问。

安全性考虑

密钥管理：确保密钥（your-secret-key）的安全性，避免泄露。
HTTPS：在生产环境中使用 HTTPS 来加密传输的 JWT，防止中间人攻击。
令牌过期：设置合理的令牌过期时间，减少令牌被盗用的风险。