随着互联网的发展，网站不仅仅是提供信息的平台，更成为商业化的战场。因此，用户认证和授权成为了一个 Web 应用程序的重要部分。在 Node.js 中，JWT（JSON Web Token）是实现用户认证和授权的一种流行方式。本文将介绍什么是 JWT，以及如何在 Node.js 中使用 JWT 实现用户认证和授权。
什么是 JWT？
JWT（JSON Web Token）是一种轻量级的安全认证机制，它是 Web 应用程序中用于代表用户身份的一种标准方式。在 JWT 模式中，当用户成功登录并请求访问需要身份验证的组件时，服务器会生成一个加密的 token 并返回给客户端。客户端在将来的请求中，携带这个 token，并通过解密验证 token 来实现身份验证和授权。
JWT 包含三部分：Header、Payload 和 Signature。
Header包含了加密算法和 token 类型的信息，以 JSON 格式表示：
{
"alg": "HS256", //加密算法
"typ": "JWT" //token类型
}Payload 包含 JWT 所代表的信息，以 JSON 格式表示。其中信息应该包括用户名和角色等，如下所示：
{
"username": "testuser",
"role": "admin",
"exp": 1631811768 //过期时间
}Signature 根据 Header 和 Payload 生成，用于验证 token 的合法性。加密算法通常选择 HS256，即使用 HMAC-SHA256 算法进行加密。Signature 的生成如下：
HMACSHA256( base64UrlEncode(header) + "." + base64UrlEncode(payload), secret )
其中，secret 是服务器用于生成 Signature 的密钥。
在 Node.js 中使用 JWT
在 Node.js 中，可以使用 npm 安装 jsonwebtoken 库来实现 JWT 的生成和验证。下面是一个使用 JWT 实现用户认证和授权的示例：
// www.javascriptcn.com code example
const jwt = require('jsonwebtoken');
const express = require('express');
const app = express();
// 用户登录
app.post('/login', (req, res) => {
const { username, password } = req.body;
// 在数据库中检查用户名和密码是否正确
const user = checkUser(username, password);
if (user) {
// 生成 token，有效期为 30 分钟
const token = jwt.sign({
username: user.username,
role: user.role,
exp: Math.floor(Date.now() / 1000) + 60 * 30
}, 'secret');
res.json({
token: token
});
} else {
res.status(401).json({
error: 'Unauthorized'
});
}
});
// 需要身份验证的路由
app.get('/secure', (req, res) => {
const token = req.headers.authorization;
if (token) {
try {
const decoded = jwt.verify(token, 'secret');
// 验证 token 合法性
console.log(decoded);
res.json({
message: 'Hello, ' + decoded.username + '!'
});
} catch (err) {
res.status(401).json({
error: 'Unauthorized'
});
}
} else {
res.status(401).json({
error: 'Unauthorized'
});
}
});
app.listen(3000, () => {
console.log('Server started on port 3000!');
});在上述示例中，用户登录成功后，服务器生成一个有效期为 30 分钟的 token，并将其返回给客户端。在需要身份验证的路由中，客户端将 token 放在请求头的 Authorization 字段中携带过来。服务器会验证该 token 的合法性并返回相应的数据。
以上就是使用 JWT 在 Node.js 中实现用户认证和授权的基础步骤，开发者可根据实际情况灵活使用。
结语
JWT 是一种在 Web 应用程序中常用的安全认证机制，比起传统的用户认证方式具有更高的安全性和灵活性。本文介绍了什么是 JWT，以及如何在 Node.js 中使用 JWT 实现用户认证和授权。希望开发者们可以在实际开发中灵活运用，提升 Web 应用程序的安全性和用户体验。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/67d614c2a941bf7134bb2101