原生js怎么验证token

原生JS验证Token的关键点包括：验证Token格式、解析Token信息、验证Token的有效性、处理验证结果。 其中，验证Token的有效性是最为重要的一点。验证Token的有效性不仅涉及到Token的签名验证，还包括检查Token的过期时间。下面将详细描述如何在原生JS中进行Token验证。

一、验证Token格式

在进行Token验证的第一步是确保Token的格式正确。通常，Token是使用JWT（JSON Web Token）格式，这种格式的Token由三个部分组成：头部（Header）、载荷（Payload）和签名（Signature）。每个部分之间用点（.）分隔开。

function isValidTokenFormat(token) {
    const parts = token.split('.');
    return parts.length === 3;
}

二、解析Token信息

解析Token的信息可以帮助我们了解Token的内容。JWT的头部和载荷部分是使用Base64URL编码的，所以我们需要先解码这两部分。

function base64UrlDecode(str) {
    str = str.replace(/-/g, '+').replace(/_/g, '/');
    const decoded = atob(str);
    return decodeURIComponent(escape(decoded));
}
function parseJwt(token) {
    const [header, payload, signature] = token.split('.');
    return {
        header: JSON.parse(base64UrlDecode(header)),
        payload: JSON.parse(base64UrlDecode(payload)),
        signature: signature
    };
}

三、验证Token的有效性

1. 验证Token的签名

Token的签名部分是确保Token未被篡改的重要环节。验证签名需要使用与生成Token时相同的算法和密钥。

function verifyTokenSignature(token, secret) {
    const [header, payload, signature] = token.split('.');
    const data = header + '.' + payload;
    const expectedSignature = btoa(CryptoJS.HmacSHA256(data, secret).toString(CryptoJS.enc.Base64));
    return signature === expectedSignature;
}

2. 检查Token的过期时间

Token通常包含一个exp字段，代表Token的过期时间。我们可以通过解析Token的载荷部分来检查过期时间。

function isTokenExpired(payload) {
    const now = Math.floor(Date.now() / 1000);
    return payload.exp && now > payload.exp;
}

四、处理验证结果

根据以上验证步骤的结果来确定Token是否有效。如果Token格式正确、签名验证通过且未过期，则Token有效；否则，Token无效。

function validateToken(token, secret) {
    if (!isValidTokenFormat(token)) {
        return { valid: false, reason: 'Invalid format' };
    }
    const { header, payload, signature } = parseJwt(token);
    if (!verifyTokenSignature(token, secret)) {
        return { valid: false, reason: 'Invalid signature' };
    }
    if (isTokenExpired(payload)) {
        return { valid: false, reason: 'Token expired' };
    }
    return { valid: true, payload: payload };
}

五、应用场景和注意事项

1. 在前端验证Token

前端验证Token可以用于简单的本地验证，确保用户的Token在基本格式和过期时间上是有效的。然而，前端验证并不能完全替代后端验证。因为前端代码是公开的，攻击者可以通过修改前端代码来绕过验证逻辑。

const token = 'your-jwt-token';
const secret = 'your-secret-key';
const validationResult = validateToken(token, secret);
if (validationResult.valid) {
    console.log('Token is valid:', validationResult.payload);
} else {
    console.log('Token is invalid:', validationResult.reason);
}

2. 在后端验证Token

后端验证Token是确保Token安全性的关键。在后端验证中，可以使用更复杂的逻辑和更安全的密钥管理来确保Token的可靠性。推荐使用专业的项目管理系统如PingCode和Worktile来管理和分发Token，这些系统提供了强大的安全机制和方便的协作功能。

六、总结

在原生JS中验证Token需要多方面的验证工作，包括格式验证、解析Token、签名验证和过期时间检查。通过这些步骤，可以确保Token的基本安全性。然而，前端验证Token并不能完全取代后端验证，后端验证仍然是确保Token安全性的关键。使用专业的项目管理系统如PingCode和Worktile可以进一步提升Token管理和验证的安全性和效率。