express配合JWT身份验证

1. 什么是JWT

JWT(英文全称:JSON Web Token)是目前最流行的跨域认证解决方案

2. JWT的工作原理

总结：用户的信息通过Token字符串的形式，保存在客户端浏览器中。服务器通过还原Token字符串的形式来认证用户的身份

3. JWT的组成部分

JWT 通常由三部分组成，分别是 Header（头部）、Payload（有效荷载）、Signature（签名）。
三者之间使用英文的“.”分隔，格式如下：

下面是 JWT 字符串的示例：

4. JWT的三个部分各自代表的含义

JWT 的三个组成部分，从前到后分别是 Header、Payload、Signature。
其中：
Payload 部分才是真正的用户信息，它是用户信息经过加密之后生成的字符串。
Header 和 Signature 是安全性相关的部分，只是为了保证 Token 的安全性。

5. JWT 的使用方式

客户端收到服务器返回的 JWT 之后，通常会将它储存在 localStorage 或 sessionStorage 中。
此后，客户端每次与服务器通信，都要带上这个 JWT 的字符串，从而进行身份认证。推荐的做法是把 JWT 放在 HTTP 请求头的 Authorization 字段中，格式如下：

5.1 安装JWT相关的包

jsonwebtoken 用于生成 JWT 字符串
express-jwt 用于将 JWT 字符串解析还原成 JSON 对象

5.2 创建jwt小项目 初始化基本的路由请求

app.js

// 主程序
const express = require("express") // 导入express
// 解决跨域问题
const cors = require("cors")
const app = express() // 实例化app对象
app.use(express.urlencoded({extended:false}))// 接收post表单数据
app.use(cors()) // 解决跨域问题

app.get('/',(req,res)=>{
    res.send("ok")
})

app.listen(80,()=>{
    console.log("express service is running at http://127.0.0.1")
})

5.3 创建登录路由，请求方式为post，如果登录失败则返回

router.post("/login",(req,res)=>{
    // 将req.body 请求体中的数据转存为userinfo常量
    const userinfo = req.body 
    if(userinfo.username != 'admin' || userinfo.password != '000000'){
        return res.send({
            status:400,
            message:'登录失败'
        })
    }
    })

5.4 导入JWT相关的包

使用 require() 函数，分别导入 JWT 相关的两个包：

const jwt = require("jsonwebtoken")
const expressJWT = require("express-jwt")

5.5 定义secret密钥

为了保证 JWT 字符串的安全性，防止 JWT 字符串在网络传输过程中被别人破解，我们需要专门定义一个用于加密和解密的 secret 密钥：

1. 当生成 JWT 字符串的时候，需要使用 secret 密钥对用户的信息进行加密，最终得到加密好的 JWT 字符串

2. 当把 JWT 字符串解析还原成 JSON 对象的时候，需要使用 secret 密钥进行解密

   // 定义secret密钥 本质就是一个字符串用于加密和解密
   const secretKey = "itnan.cc"

   5.6 登录成功后的代码

   router.post("/login",(req,res)=>{
    // 将req.body 请求体中的数据转存为userinfo常量
    const userinfo = req.body 
    if(userinfo.username != 'admin' || userinfo.password != '000000'){
        return res.send({
            status:400,
            message:'登录失败'
        })
    }
    // 如果登录成功 调用jwt.sign()方法生成jwt字符串，通过token发送给客户端
    // 参数1：用户的信息对象，你想存储的用户信息
    // 参数2：加密的密钥
    // 参数3：配置对象，可以配置当前token的有效期
    const tokenStr = jwt.sign({username:userinfo.username},secretKey,{expiresIn:'60s'})
    res.send({
        status:200,
        message:"登录成功",
        token:tokenStr
    })
   
   })

   5.7 发送请求测试token是否可以生成

   

如果登录失败（用户名或者密码不正确）

5.8 将 JWT 字符串还原为 JSON 对象

客户端每次在访问那些有权限接口的时候，都需要主动通过请求头中的 Authorization 字段，将 Token 字符串发送到服务器进行身份认证。
此时，服务器可以通过 express-jwt 这个中间件，自动将客户端发送过来的 Token 解析还原成 JSON 对象：

// 使用app.use()注册中间件
// express.JWT({secret:secretKey}) //用来解析Token的中间件
// .unless({path:[/^\/api\//]}) 用来指定哪些接口不需要访问权限
app.use(expressJWT({"secret":secretKey})).unless({path:[/^\/api\//]}) )

换种写法完美解决问题

app.use(expressJWT.expressjwt({secret:secretKey,algorithms:["HS256"]}).unless({path:[/^\/api\//]}))

5.9 定义登录成功后获取用户信息的路由

// 获取用户信息 需要用户登录成功后才可以
app.post("/getinfo",(req,res)=>{
    // 使用req.auth 获取用户信息，使用data属性将用户信息发送给客户端
    res.send({
        status:200,
        message:"获取用户信息成功",
        data:req.auth
    })
})

5.10 postman测试登录成功后获取用户信息

需要在header头信息中加上Authorization 值是 Bearer token信息

5.11 捕获解析JWT失败后产生的错误（过期了）

当使用 express-jwt 解析 Token 字符串时，如果客户端发送过来的 Token 字符串过期或不合法，会产生一个解析失败的错误，影响项目的正常运行。我们可以通过 Express 的错误中间件，捕获这个错误并进行相关的处理，示例代码如下：
定义一个中间件 用于处理token过期的情况 这个中间件需要定义在所有路由之后
其实捕获的就是UnauthorizedError这个错误类型

// 捕获解析JWT失败后产生的错误
app.use((err,req,res,next)=>{
    // token解析失败导致的错误
    if(err.name === 'UnauthorizedError' ){
        return res.send({status:401,message:'无效token'})
    }
    // 其他原因导致错误
    return res.send({status:500,message:'未知错误'})
})

附源码：
源码下载