前言
在现代 Web 应用程序中，身份验证是必不可少的部分。它涉及到防范社交工程、保护数据、访问控制等安全问题。JSON Web Token（JWT）是一种开放标准，用于在两个实体之间安全地传输信息。JWT 由三个基本部分组成：头部、负载部分和签名。它们分别使用 Base64 编码并以句点分隔连接在一起。JWT 已经成为一种流行的身份验证机制，被广泛地用于前端和后端的身份验证。
在本篇文章中，将介绍使用 Node.js 实现 JSON Web Token 的方法及一些注意事项。同时，提供示例代码以供参考。
Node.js 中安装和引入 jsonwebtoken 库
jsonwebtoken 是 Node.js 中的一种让你快速生成 JWT 的第三方库。可以通过以下命令进行安装并引入：
npm install --save jsonwebtoken
引入方式如下：
const jwt = require('jsonwebtoken')生成 JWT
生成 JWT 的过程中，需要至少包含以下三个必要的部分信息：有效期、秘钥和负载。秘钥用于在服务端对签名进行验证，而有效期则决定了 JWT 的存活时间。负载部分则用于在 JWT 中存储用户相关的信息。
const payload = { username: 'example' }
const expiresIn = '30d'
const secret = 'mysecretkey'
const token = jwt.sign(payload, secret, { expiresIn })
console.log(token)在上面的代码中，生成 JWT 的过程中，我们使用了三个变量：payload、expiresIn 和 secret。payload 是包含用户信息的负载部分，expiresIn 设定了 JWT 的过期时间，secret 是用于签名的秘钥。sign 函数将数据进行签名生成 JWT，并返回 Token 字符串。
解析 JWT
解析 JWT 的过程就是对 Token 进行签名验证和解码，提取出其中的内容。在解析 JWT 时，需要注意以下几个问题：
- 是否过期
- 签名是否正确
- 与客户端请求中的 Token 是否一致
const decoded = jwt.verify(token, secret) console.log(decoded)
在上面的代码中，我们使用 verify 函数对 Token 进行解析。调用成功后将返回解码后的 payload 对象。
注意事项
避免将敏感信息直接存储在 JWT 中。此外，即使是存储在 JWT 中的信息，也需要进行加密处理。
维护好秘钥的安全性。任何人都可以通过 Token 进行解析，因此秘钥的泄露将导致安全漏洞和数据泄露。
设置合理的过期时间。过期时间的设置对于保障应用的安全至关重要。对于比较敏感的操作，过期时间应该设置更短些。
示例代码
// www.javascriptcn.com code example
const jwt = require('jsonwebtoken')
/**
* 生成 Token
* @param {*} payload 用于存储的负载数据
* @param {string} expiresIn Token 的有效期
* @param {string} secret Token 的加密秘钥
* @returns {string} 返回受签名保护的 Token 字符串
*/
const generateToken = (payload, expiresIn = '30d', secret = 'mysecretkey') => {
const token = jwt.sign(payload, secret, { expiresIn })
return token
}
/**
* 验证 Token
* @param {string} token 将要被验证的 Token 字符串
* @param {string} secret Token 的加密秘钥
* @returns {Object} 成功则返回解密后的对象，失败则返回错误信息
*/
const verifyToken = (token, secret = 'mysecretkey') => {
try {
const decoded = jwt.verify(token, secret)
return decoded
} catch (err) {
console.log(err)
return err.message
}
}
const main = () => {
// 生成 Token
const token = generateToken({ username: 'example' }, '10s')
console.log(token)
// 验证 Token
const decoded = verifyToken(token)
console.log(decoded)
}
main()结束语
在本篇文章中，我们介绍了使用 Node.js 实现 JWT 的方法及注意事项。JWT 拥有易于使用的 API，可以在前端和后端应用中灵活使用。但是，它也需要开发者注意安全问题，保持密钥安全性，避免敏感数据泄露，合理设置过期时间，并进行加密处理等。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/67c835f5e46428fe9ee71b3e