欧美bbbwbbbw肥妇,免费乱码人妻系列日韩,一级黄片

nodejs實(shí)現(xiàn)jwt的示例代碼

 更新時(shí)間:2023年03月03日 11:21:57   作者:語無倫次¥!  
本文主要介紹了nodejs實(shí)現(xiàn)jwt的示例代碼,文中通過示例代碼介紹的非常詳細(xì),對大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值,需要的朋友們下面隨著小編來一起學(xué)習(xí)學(xué)習(xí)吧

jwt是json web token的簡稱,本文介紹它的原理,最后后端用nodejs自己實(shí)現(xiàn)如何為客戶端生成令牌token和校驗(yàn)token

1.為什么需要會話管理

我們用nodejs為前端或者其他服務(wù)提供resful接口時(shí),http協(xié)議他是一個(gè)無狀態(tài)的協(xié)議,有時(shí)候我們需要根據(jù)這個(gè)請求的上下獲取具體的用戶是否有權(quán)限,針對用戶的上下文進(jìn)行操作。所以出現(xiàn)了cookies session還有jwt這幾種技術(shù)的出現(xiàn), 都是對HTTP協(xié)議的一個(gè)補(bǔ)充。使得我們可以用HTTP協(xié)議+狀態(tài)管理構(gòu)建一個(gè)的面向用戶的WEB應(yīng)用。

2.session和cookies

session和cookies是有聯(lián)系的,session就是服務(wù)端在客戶端cookies種下的session_id, 服務(wù)端保存session_id所對應(yīng)的當(dāng)前用戶所有的狀態(tài)信息。每次客戶端請求服務(wù)端都帶上cookies中的session_id, 服務(wù)端判斷是否有具體的用戶信息,如果沒有就去調(diào)整登錄。

  • cookies安全性不好,攻擊者可以通過獲取本地cookies進(jìn)行欺騙或者利用cookies進(jìn)行CSRF攻擊。
  • cookies在多個(gè)域名下,會存在跨域問題
  • session的信息是保存在服務(wù)端上面的,當(dāng)我們node.js在stke部署多臺機(jī)器的時(shí)候,需要解決共享session,所以引出來session持久化問題,所以session不支持分布式架構(gòu),無法支持橫向擴(kuò)展,只能通過數(shù)據(jù)庫來保存會話數(shù)據(jù)實(shí)現(xiàn)共享。如果持久層失敗會出現(xiàn)認(rèn)證失敗。

3.jwt的定義

jwt是json web token的全稱,他解決了session以上的問題,優(yōu)點(diǎn)是服務(wù)器不保存任何會話數(shù)據(jù),即服務(wù)器變?yōu)闊o狀態(tài),使其更容易擴(kuò)展,什么情況下使用jwt比較合適,我覺得就是授權(quán)這個(gè)場景,因?yàn)閖wt使用起來輕便,開銷小,后端無狀態(tài),所以使用比較廣泛。

4.jwt的原理

JWT 的原理是,服務(wù)器認(rèn)證以后,生成一個(gè) JSON 對象,發(fā)回給用戶,就像下面這樣。

{
  "姓名": "張三",
  "角色": "管理員",
  "到期時(shí)間": "2018年7月1日0點(diǎn)0分"
}

以后,用戶與服務(wù)端通信的時(shí)候,都要發(fā)回這個(gè) JSON 對象。服務(wù)器完全只靠這個(gè)對象認(rèn)定用戶身份。為了防止用戶篡改數(shù)據(jù),服務(wù)器在生成這個(gè)對象的時(shí)候,會加上簽名。

5.jwt的認(rèn)證流程

流程說明:

  • 瀏覽器發(fā)起請求登陸,攜帶用戶名和密碼;
  • 服務(wù)端根據(jù)用戶名和明碼到數(shù)據(jù)庫驗(yàn)證身份,根據(jù)算法,將用戶標(biāo)識符打包生成 token,
  • 服務(wù)器返回JWT信息給瀏覽器,JWT不應(yīng)該包含敏感信息,這是很重要的一點(diǎn)
  • 瀏覽器發(fā)起請求獲取用戶資料,把剛剛拿到的 token一起發(fā)送給服務(wù)器,一般放在header里面,字段為authorization
  • 服務(wù)器發(fā)現(xiàn)數(shù)據(jù)中有 token,decode token的信息,然后再次簽名,驗(yàn)明正身;
  • 服務(wù)器返回該用戶的用戶資料;
  • 服務(wù)器可以在payload設(shè)置過期時(shí)間, 如果過期了,可以讓客戶端重新發(fā)起驗(yàn)證。

6.jwt的數(shù)據(jù)結(jié)構(gòu)

jwt包含了使用.風(fēng)格的三個(gè)部分

Header頭部

{ "alg": "HS256", "typ": "JWT"}   
// algorithm => HMAC SHA256
// type => JWT

這是固定的寫法,alg表面要用的是HS256算法

Payload 負(fù)載、載荷,JWT 規(guī)定了7個(gè)官方字段

iss (issuer):簽發(fā)人
exp (expiration time):過期時(shí)間
sub (subject):主題
aud (audience):受眾
nbf (Not Before):生效時(shí)間
iat (Issued At):簽發(fā)時(shí)間
jti (JWT ID):編號

除了這七個(gè),可以自定義,比如過期時(shí)間

Signature 簽名

對前兩部分header和payload進(jìn)行簽名,防止數(shù)據(jù)篡改

HMACSHA256(
  base64UrlEncode(header) + "." +
  base64UrlEncode(payload),
  secret)

secret是一段字符串,后端保存,需要注意的是JWT 作為一個(gè)令牌(token),有些場合可能會放到 URL(比如 api.example.com/?token=xxx)。Base64 有三個(gè)字符+、/和=,在 URL 里面有特殊含義,所以要被替換掉:=被省略、+替換成-,/替換成_ 。這就是 Base64URL 算法。

7.jwt使用方式

HTTP 請求的頭信息Authorization字段里面, Bearer也是規(guī)定好的

Authorization: Bearer <token>

通過url傳輸(不推薦)

http://www.xxx.com/pwa?token=xxxxx

如果是post請求也可以放在請求體中

8.在koa項(xiàng)目中使用

可以使用現(xiàn)成庫,jwt-simple 或者 jsonwebtoken

let Koa = require('koa');
let Router = require('koa-router');
let bodyparser = require('koa-bodyparser');
let jwt = require('jwt-simple');
let router = new Router()
let app = new Koa();
app.use(bodyparser());
// 可以自己自定義
let secret;
// 驗(yàn)證是否登陸
router.post('/login',async(ctx)=>{?
? ? let {username,password} = ctx.request.body;
? ? if(username === 'admin' && password === 'admin'){
? ? ? ?// 通常會查數(shù)據(jù)庫,這里簡單的演示
? ? ? ?let token = ?jwt.encode(username, secret);
? ? ? ?ctx.body = {
? ? ? ? ? ? code:200,
? ? ? ? ? ? username,
? ? ? ? ? ? token,
? ? ? ?}
? ? }
});
// 驗(yàn)證是否有權(quán)限
router.get('/validate',async(ctx)=>{?
? ? let Authorization = ctx.get('authorization')
? ? let [,token] = Authorization.split(' ');
? ? if(token){
? ? ? ? try{
? ? ? ? ? ? let r = jwt.decode(token,secret);
? ? ? ? ? ? ctx.body = {
? ? ? ? ? ? ? ? code:200,
? ? ? ? ? ? ? ? username:r,
? ? ? ? ? ? ? ? token
? ? ? ? ? ? }
? ? ? ? }catch(e){
? ? ? ? ? ? ctx.body = {
? ? ? ? ? ? ? ? code:401,
? ? ? ? ? ? ? ? data:'沒有登陸'
? ? ? ? ? ? }
? ? ? ? }
? ? }else{
? ? ? ? ctx.body = {
? ? ? ? ? ? code:401,
? ? ? ? ? ? data:'沒有登陸'
? ? ? ? }
? ? }

});
app.use(router.routes());
app.listen(4000);
  • 實(shí)現(xiàn)兩個(gè)接口 一個(gè)是/login 驗(yàn)證是否登錄,一個(gè)是 validate,驗(yàn)證是否有權(quán)限
  • 請求login接口的時(shí)候,客戶端帶username和password, 后端一般會查數(shù)據(jù)庫,驗(yàn)證是否存在當(dāng)前用戶,如果存在則為username進(jìn)行簽名,千萬不要給password這些敏感信息也帶進(jìn)來簽名
  • 客戶端接收后端給的token令牌,再請求其他接口,比如這個(gè)例子的/validate的時(shí)候,ajax請求的時(shí)候,可以在header指定authorization字段,后端拿到token進(jìn)行decode,然后將header和payload進(jìn)行再一次的簽名,如果前后的簽名一致,說明沒有被篡改過,則權(quán)限驗(yàn)證通過。因?yàn)槭峭降倪^程,所以可以用try catch來捕捉錯(cuò)誤

9.原理的實(shí)現(xiàn)

sha256哈希算法,可以用nodejs的內(nèi)置加密模塊crypto, 生成base64字符串,要注意的是生成base64需要為+ - = 做一下替換,=被省略、+替換成-,/替換成_ 。這就是 Base64URL 算法。

token令牌的組成是header, payload和sigin的通過.來組成

base64urlUnescape的解碼是固定寫法,decode出base64的內(nèi)容

let myJwt = {
    sign(content,secret){
        let r = crypto.createHmac('sha256',secret).update(content).digest('base64');
        return this.base64urlEscape(r)
    },
    base64urlEscape(str){
        return str.replace(/\+/g, '-').replace(/\//g, '_').replace(/=/g, '');
    },
    toBase64(content){
        return this.base64urlEscape(Buffer.from(JSON.stringify(content)).toString('base64'))
    },
    encode(username,secret){
        let header = this.toBase64({ typ: 'JWT', alg: 'HS256' });
        let content = this.toBase64(username);
        let sign = this.sign([header,content].join('.'),secret);
        return  [header,content,sign].join('.')
    },
    base64urlUnescape(str) {
        str += new Array(5 - str.length % 4).join('=');
        return str.replace(/\-/g, '+').replace(/_/g, '/');
    },
    decode(token,secret){
        let [header,content,sign] = token.split('.');
        let newSign = this.sign([header,content].join('.'),secret);
        if(sign === newSign){
            return Buffer.from(this.base64urlUnescape(content),'base64').toString();
        }else{
            throw new Error('被篡改')
        }
    }
}

10.jwt的優(yōu)缺點(diǎn)

  • JWT默認(rèn)不加密,但可以加密。生成原始令牌后,可以使用改令牌再次對其進(jìn)行加密。
  • 當(dāng)JWT未加密方法是,一些私密數(shù)據(jù)無法通過JWT傳輸。
  • JWT不僅可用于認(rèn)證,還可用于信息交換。善用JWT有助于減少服務(wù)器請求數(shù)據(jù)庫的次數(shù)。
  • JWT的最大缺點(diǎn)是服務(wù)器不保存會話狀態(tài),所以在使用期間不可能取消令牌或更改令牌的權(quán)限。也就是說,一旦JWT簽發(fā),在有效期內(nèi)將會一直有效。
  • JWT本身包含認(rèn)證信息,因此一旦信息泄露,任何人都可以獲得令牌的所有權(quán)限。為了減少盜用,JWT的有效期不宜設(shè)置太長。對于某些重要操作,用戶在使用時(shí)應(yīng)該每次都進(jìn)行進(jìn)行身份驗(yàn)證。
  • 為了減少盜用和竊取,JWT不建議使用HTTP協(xié)議來傳輸代碼,而是使用加密的HTTPS協(xié)議進(jìn)行傳輸。

到此這篇關(guān)于nodejs實(shí)現(xiàn)jwt的示例代碼的文章就介紹到這了,更多相關(guān)node實(shí)現(xiàn)jwt內(nèi)容請搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持腳本之家!

相關(guān)文章

  • Node.js復(fù)制文件的方法示例

    Node.js復(fù)制文件的方法示例

    這篇文章主要介紹了Node.js復(fù)制文件的方法,涉及nodejs針對文件流的創(chuàng)建、讀取、寫入等操作技巧,需要的朋友可以參考下
    2016-12-12
  • node+express+jade制作簡單網(wǎng)站指南

    node+express+jade制作簡單網(wǎng)站指南

    上文我們介紹了使用node+express+ejs制作頁面,今天我們來看看使用node+express+jade制作簡單網(wǎng)站,本文記錄了一下整個(gè)搭建過程,給需要的小伙伴們參考下吧
    2014-11-11
  • Nodejs實(shí)現(xiàn)短信驗(yàn)證碼功能

    Nodejs實(shí)現(xiàn)短信驗(yàn)證碼功能

    使用Nodejs的開發(fā)者愈來越多,基于Nodejs的后臺開發(fā)也多了起來,像短信驗(yàn)證碼、短信群發(fā)、國際短信這些需求,完全可以采用第三方接口來實(shí)現(xiàn),云片就提供了這樣的接口
    2017-02-02
  • 深入了解 Node的多進(jìn)程服務(wù)實(shí)現(xiàn)

    深入了解 Node的多進(jìn)程服務(wù)實(shí)現(xiàn)

    本文主要介紹了Node的多進(jìn)程服務(wù)實(shí)現(xiàn),文中通過示例代碼介紹的非常詳細(xì),對大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值,需要的朋友們下面隨著小編來一起學(xué)習(xí)學(xué)習(xí)吧
    2022-06-06
  • 在Node.js中判定文件是否可執(zhí)行的方法詳解

    在Node.js中判定文件是否可執(zhí)行的方法詳解

    在進(jìn)行前端開發(fā)時(shí),經(jīng)常需要處理各種文件權(quán)限的問題,特別是在Node.js環(huán)境中,你可能想要判斷某個(gè)文件是否具有可執(zhí)行權(quán)限,本文將詳細(xì)介紹如何使用isexe模塊來進(jìn)行這一操作,需要的朋友可以參考下
    2024-05-05
  • 手動下載Chrome并解決puppeteer無法使用問題

    手動下載Chrome并解決puppeteer無法使用問題

    本篇文章主要介紹了手動下載Chrome并解決puppeteer無法使用問題,小編覺得挺不錯(cuò)的,現(xiàn)在分享給大家,也給大家做個(gè)參考。一起跟隨小編過來看看吧
    2018-11-11
  • 利用Decorator如何控制Koa路由詳解

    利用Decorator如何控制Koa路由詳解

    最近學(xué)習(xí)了plover的底層框架koa,所以下面這篇文章主要給大家介紹了關(guān)于利用Decorator如何控制Koa路由的相關(guān)資料,,文中通過示例代碼介紹的非常詳細(xì),需要的朋友可以參考借鑒,下面來隨著小編一起學(xué)習(xí)學(xué)習(xí)吧
    2018-06-06
  • node.JS md5加密中文與php結(jié)果不一致的解決方法

    node.JS md5加密中文與php結(jié)果不一致的解決方法

    本篇文章主要介紹了node.JS md5加密中文與php結(jié)果不一致的解決方法,具有很好的參考價(jià)值。下面跟著小編一起來看下吧
    2017-05-05
  • 零基礎(chǔ)之Node.js搭建API服務(wù)器的詳解

    零基礎(chǔ)之Node.js搭建API服務(wù)器的詳解

    今天小編就為大家分享一篇關(guān)于零基礎(chǔ)之Node.js搭建API服務(wù)器的詳解,小編覺得內(nèi)容挺不錯(cuò)的,現(xiàn)在分享給大家,具有很好的參考價(jià)值,需要的朋友一起跟隨小編來看看吧
    2019-03-03
  • 2014年最火的Node.JS后端框架推薦

    2014年最火的Node.JS后端框架推薦

    用nodejs開發(fā)web應(yīng)用,用哪個(gè)框架好?express?還是其他什么?今天小編就來給大家推薦一下今年最好用的幾款Node.js后端框架
    2014-10-10

最新評論