快捷導(dǎo)航

node.js配置Token驗(yàn)證的2種方式總結(jié)

更新時(shí)間：2023年02月03日 10:20:35 作者：抗?fàn)幍男∏嗄?

token驗(yàn)證,在設(shè)計(jì)登錄注冊(cè)和一些權(quán)限接口時(shí)發(fā)揮作用,下面這篇文章主要給大家介紹了關(guān)于node.js配置Token驗(yàn)證的2種方式,文中通過(guò)實(shí)例代碼介紹的非常詳細(xì),需要的朋友可以參考下

1. 生成Token jwt passport實(shí)現(xiàn)生成和驗(yàn)證Token

jsonwebtoken

1.安裝

npm i jsonwebtoken

2.引入

const jwt = require('jsonwebtoken')s

3.定義規(guī)則

const rule = {<!--{C}%3C!%2D%2D%20%2D%2D%3E--> id: result[0].id, name: result[0].name }

由于id，和name都是通過(guò)數(shù)據(jù)庫(kù)獲取過(guò)來(lái)的，所以用的這種方式

4.設(shè)置jwt.sign方法/生成token

jwt.sign("規(guī)則", "加密名字", "過(guò)期時(shí)間", "箭頭函數(shù)")

        jwt.sign(rule, key.secretOrkey, { expiresIn: 3600 }, (err, token) => {
          if (err) return err.message
          return res.send({
            code: 1,
            msg: `Bearer ${token}`
          })
        })

這里的rule就是上面所說(shuō)的校驗(yàn)規(guī)則，key.secretOrkey就是加密名字，只不過(guò)封裝到了外部，expiresIn:3600，就說(shuō)明是3600秒，msg返回的就是生成的Token

5.驗(yàn)證token

// $router get api/user/current
// @desc return current user
// @access private
router.get("/current", "驗(yàn)證Token", (req, res) => {
  res.send({
    code: 1,
    msg: '驗(yàn)證成功'
  })
})

我們需要在"驗(yàn)證Token"那里對(duì)Token進(jìn)行驗(yàn)證

2. 使用passpport-jwt||passport驗(yàn)證Token

passport

passport-jwt

1.安裝

npm install passport-jwt
npm i passport

2.使用

這是從npm摘抄過(guò)來(lái)的的示例方法

passport

passport.use(new LocalStrategy(
  function(username, password, done) {
    User.findOne({ username: username }, function (err, user) {
      if (err) { return done(err); }
      if (!user) { return done(null, false); }
      if (!user.verifyPassword(password)) { return done(null, false); }
      return done(null, user);
    });
  }
));

這個(gè)方法中的User.findOne方法可以刪除，寫上自己的業(yè)務(wù)邏輯，我用的是mysql，所以沒有用User.findeOne方法

初始化passport

app.use(passport.initialize());

passport-jwt

new JwtStrategy(options, verify)

3.實(shí)際使用

index.js(項(xiàng)目入口文件)

const passport = require("passport")

//在入口文件中配置和引用
//初始化passport
app.use(passport.initialize());
require("./config/passport")(passport)

這里單獨(dú)抽離了passport配置文件，同時(shí)將上面引入的passprot進(jìn)行引入

config/passport.js

const db = require("../db/index")
const JwtStrategy = require('passport-jwt').Strategy
const ExtractJwt = require('passport-jwt').ExtractJwt

const key = require("../config/key")
const opts = {}
opts.jwtFromRequest = ExtractJwt.fromAuthHeaderAsBearerToken();
opts.secretOrKey = key.secretOrkey;


module.exports = passport => {
  passport.use(new JwtStrategy(opts, (jwt_payload, done) => {
    // { id: 1, name: 'wz', iat: 1660299838, exp: 1660303438 }
    console.log(jwt_payload);
    sqlcc = `SELECT * FROM user WHERE id=${jwt_payload.id};`
    db.query(sqlcc, (err, result) => {
      console.log(result[0]);
      if (err) {
        return done(null, err.message)
      }
      if (result.length != 0) {
        return done(null, result[0])
      } else {
        return done(null, false)
      }
    })
  }));
}

注意，生成的token應(yīng)該帶有統(tǒng)一的格式。一個(gè)正確的token應(yīng)該是這樣的Bearer ${token}，注意Bearer和生成的Token之間的空格。

接下來(lái)在需要校驗(yàn)的地方驗(yàn)證Token

// $router get api/user/current
// @desc return current user
// @access private
router.get("/current", passport.authenticate("jwt", { session: false }), (req, res) => {
  res.send({
    code: 1,
    msg: req.user
  })
})

驗(yàn)證token如果通過(guò)，就會(huì)執(zhí)行passport.use里的方法，同時(shí)jwt_jpayload會(huì)輸出結(jié)果，得到結(jié)果后，我們?cè)谟胕d在User表中查詢數(shù)據(jù)，然后通過(guò)req.user(數(shù)據(jù)庫(kù)表名)拿到。
// { id: 1, name: 'wz', iat: 1660299838, exp: 1660303438 }
console.log(jwt_payload);

2. express-jwt || jsonwebtoken生成Token驗(yàn)證Token 安裝

npm install jsonwebtoken express-jwt

注意
jsonwebtoken用于生成JWT字符串

express-jwt用于將Jwt字符串解析為JSON對(duì)象

新建文件夾config/key.js

module.exports = {
  keyOringe: "secret"
}

將設(shè)置的key值暴露出去

在需要的地方引入

const jwt = require("jsonwebtoken")

    if (password == tools.setPassword(results[0].password)) {
      //如果成功，傳1,頁(yè)面跳轉(zhuǎn)交給vue
+      const rule = {
+        id: results[0].id,
+        adminname: results[0].adminname
+      }

+      const tokenstr = jwt.sign(rule, key.keyOringe, { expiresIn: 3600 })
+      res.send({

        code: 1,
        msg: '登陸成功',
+        token: tokenstr
      })
    }

調(diào)用 jwt.sign() 方法生成JWT字符串并通過(guò) token 屬性發(fā)送給客戶端
參數(shù)1: 用戶的信息對(duì)象
參數(shù)2: 加密的密鑰
參數(shù)3: 配置對(duì)象可以配置當(dāng)前 token 的有效期
rule只是抽離出去，其實(shí)直接寫也沒問題

在中間件中使用

const { expressjwt: jwt } = require("express-jwt")
const key = require('../config/key')

router.use(jwt({
  secret: key.keyOringe,
  algorithms: ["HS256"],
}).unless({ path: ["/admin/login", "/admin/register"] })
)

之后使用私有接口去訪問

//$route GET admin/banner/
//@desc 修改輪播圖接口
router.get('/', (req, res) => {
  console.log(req);
  res.send({
    code: 1,
    msg: '獲取用戶信息成功',
    data: req.auth
  })
})

這樣就會(huì)返回帶有用戶信息的Token了！

捕獲解析JWT失敗后產(chǎn)生的錯(cuò)誤

當(dāng)使用express-jwt解析Token字符串時(shí),如果客戶端發(fā)送的Token字符串過(guò)期或不合法,會(huì)產(chǎn)生一個(gè)解析失敗的錯(cuò)誤,影響項(xiàng)目的正常運(yùn)行,可以通過(guò)Express的錯(cuò)誤中間件,捕獲這個(gè)錯(cuò)誤并且進(jìn)行相關(guān)的處理,示例代碼如下:

//在所有路由后面定義錯(cuò)誤中間件
//使用全局錯(cuò)誤處理中間件 捕獲解析 JWT 失敗后產(chǎn)生的錯(cuò)誤
app.use((err, req, res, next) => {
  //判斷是否由 Token 解析失敗導(dǎo)致的
  if (err.name == 'UnauthorizedError') {
    return res.send({
      status: 401,
      message: '無(wú)效的Token'
    })
  }
  res.send({
    status: 500,
    message: '未知的錯(cuò)誤'
  })
})