在Express.js项目中使用JWT认证

应用JSON Web Tokens（JWT）进行身份验证是一种流行的机制，尤其是在构建Express.js项目时。使用JWT可以提供无状态的认证机制、灵活性高和跨平台兼容性。JWT通过允许服务器生成一个token，该token能够包含用户的信息及有效期，从而让客户端在随后的请求中携带此token来证明其身份。其中，无状态的认证机制是JWT的核心优势之一，因为它允许应用在不需要在服务器上存储会话信息的情况下进行认证，大大减少了资源的消耗。

一、JWT基础知识

JSON Web Tokens（JWT）是一种开放标准（RFC 7519），它定义了一种紧凑且自包含的方式用于在各方之间安全地传输信息。JWT可以用作认证令牌，也可以用于信息交换，信息是经过数字签名的，因此可验证且不可伪造。

JWT由三部分组成：

Header（头部）：头部通常由两部分组成：token类型（即JWT）和使用的哈希算法（例如：HMAC SHA256或RSA）。
Payload（载荷）：载荷包含所要传递的信息，如用户ID、TOKEN创建时间、过期时间等。这些信息命名为clAIms（声明），它们可以是预定义的、公共的或私有的声明。
Signature（签名）：签名部分是对头部和载荷部分进行签名的结果，以防止内容被篡改。

二、JWT认证流程

在Express.js项目中使用JWT进行身份验证的流程通常包括以下几个步骤：

用户使用其凭证（如用户名和密码）请求登录。
服务器验证凭证的有效性，并使用密钥为该用户创建一个JWT。
服务器将此JWT返回给客户端。
客户端将此JWT存储起来，通常是在localStorage或者sessionStorage中。
客户端在随后的每次请求中都携带这个JWT（通常是在HTTP请求的Authorization header中）。
服务器通过验证HTTP请求中的JWT来确认用户的身份。

这个流程使得JWT能够提供一种有效的、无状态的身份验证方法，因为服务器不需要存储用户的登录信息，所有必要的信息都包含在JWT中。这对于构建可扩展的大型应用尤为重要。

三、在Express.js中实现JWT认证

要在Express.js项目中实现JWT认证，首先需要安装jsonwebtoken包，这是一个用于生成JWT的Node.js库。

npm install jsonwebtoken

接下来，建立认证机制的基本步骤大致如下：

1. 创建JWT密钥： 为了安全地签发和验证token，需在环境变量中存储一个密钥。这个密钥应该是复杂且无法被轻易猜测的字符串。

2. 用户登录并生成JWT： 在验证用户的登录凭证后，使用jsonwebtoken库来为该用户生成一个JWT。

const jwt = require('jsonwebtoken');
// 用户登录后的处理逻辑
app.post('/login', function(req, res) {
  // （此处省略验证用户凭证的代码）
  const user = { id: user.id };
  const accessToken = jwt.sign(user, process.env.TOKEN_SECRET, { expiresIn: '24h' });
  res.json({ accessToken: accessToken });
});

3. 创建一个中间件以验证JWT： 对于需要验证身份的路由，可以创建一个中间件来验证请求头中的JWT。

const jwt = require('jsonwebtoken');
function authenticateToken(req, res, next) {
  const authHeader = req.headers['authorization'];
  const token = authHeader && authHeader.split(' ')[1];
  if (token == null) return res.sendStatus(401);
  jwt.verify(token, process.env.TOKEN_SECRET, (err, user) => {
    if (err) return res.sendStatus(403);
    req.user = user;
    next();
  });
}