JWT
JSON Web Token（ JWT）是目前最流行的跨域认证解决方案。
一般的跨域认证方式
流程如下：
- 客户端向服务器发送用户名和密码
- 服务器验证通过后，在session中保存相关数据
- 服务器向客户端返回一个session_token放到cookie中
- 客户端每次请求都通过cookie携带session_token
- 服务器拿到session_token，通过这个找到以前存的用户信息，进行判断
上面session中存放的数据，通过数据库或者别的持久化操作存储，但是会存在服务器集群数据同步的问题，处理起来比较麻烦。
JWT原理
服务器拿到用户登录信息，验证通过后会根据用户信息去生成一个Token并携带Signature返回给用户，服务器不存储session的信息，交由用户去存储。
JWT组成
xxxxx.yyyyy.zzzzz对应的依次如下
- Header
- Payload
- Signature
中间通过.分隔：Header.Payload.Signature
Header
使用的是Base64URL 算法转成字符串，解析后是个JSON对象，描述JWT的元数据
{
"alg": "HS256",
"typ": "JWT"
}
Payload
使用的是Base64URL 算法转成字符串，解析后是个JSON对象，存放JWT需要传输的信息
- iss 签发人
- exp 过期时间
- sub 主体信息
- iat 签发时间
- aud 受众
- nbf 生效时间
- jti 编号
注意，JWT 默认是不加密的，任何人都可以读到，所以不要把重要信息放在这个部分。
Signature
使用你需要的加密方式（默认HMAC SHA256加密）
HMACSHA256(base64UrlEncode(Header) + "." +base64UrlEncode(Payload),secret)
JWT客户端发送
客户端收到服务器返回的Token，存储在cookie、sessionStorage或者localStorage中
在需要认证的时候，将Token添加到Http请求的Header中
Header: {
Authorization: `Bearer ${Token}`
}
注意， Bearer和Token之间有个空格
在node中使用jwt
node-jsonwebtoken
jsonwebtoken是JWT的node版本 github
- 安装
yarn add jsonwebtoken
- 生成Token
const jwt = require('jsonwebtoken')
const token = jwt.sign({
// 设置一个小时的过期时间
exp: Math.floor(Date.now() / 1000) + 3600,
// 自定义的携带信息
data: {
name: user.name,
createTime: user.createTime
}
}, 'demo')
- JWT验证
jwt.verify(token, 'demo', (err, decode) => {
// decode是携带的信息
if (err) {
// 认证失败
// ...
} else {
// 成功
// ...
}
})
- 路由权限验证
由于本人使用的是koa搭建的服务端，所以下面是基于koa的操作
const koa = require('koa')
const Router = require('koa-router')
const bodyParser = require('koa-bodyparser')
const jwtKoa = require('koa-jwt')
const app = new koa()
const router = new Router()
app.use(bodyParser())
// JWT拦截
/**
* secret是服务端存储的密钥
* unless是不做JWT验证的条件
* unless.method 不做验证的请求方式 这里是所有的GET请求不去做拦截
* unless.path 不做验证的请求路径 这里是/login请求不去做拦截
*
*/
// 特殊路径处理，这里的login用的是post
const specialPath = new RegExp(`^\/login`)
app.use(jwtKoa({ secret: 'demo' }).unless({ method: ['GET'], path: [specialPath] }))
router.get('/demo',(ctx, next) => {
})
router.post('/demo', (ctx, next) => {
})
router.del('/demo/:id', (ctx, next) => {
})
router.put('/demo/:id',(ctx, next) => {
})
app.use(router.routes()).use(router.allowedMethods())
jsonwebtoken 文档
jwt.sign(payload, secretOrPrivateKey, [options, callback])
异步:如果提供回调，则使用err或JWT 调用回调。
同步:将JsonWebToken返回为字符串。
payload
payload 必须是一个object, buffer或者string。注意， exp只有当payload是object字面量时才可以设置。
如果payload不是buffer或string，它将被强制转换为使用的字符串JSON.stringify()。
secretOrPrivateKey
secretOrPrivateKey 是包含HMAC算法的密钥或RSA和ECDSA的PEM编码私钥的string或buffer。
options
options:
- algorithm：加密算法（默认值：HS256）
- expiresIn：过期时间， 以秒表示或描述时间跨度zeit / ms的字符串。如60，"2 days"，"10h"，"7d"
- notBefore：生效时间， 以秒表示或描述时间跨度zeit / ms的字符串。如：60，"2days"，"10h"，"7d"
- audience：受众
- issuer：签发人
- jwtid：编号
- subject：主体
- noTimestamp
- header
在expiresIn，notBefore，audience，subject，issuer没有默认值时。也可以直接在payload中用exp，nbf，aud，sub和iss分别表示，但是你不能在这两个地方同时设置。
生成的jwts通常会默认包含一个iat值除非指定了noTimestamp。
jwt.sign({
exp: Math.floor(Date.now() / 1000) + (60 * 60),
data: '一个小时过期'
}, 'demo')
// 或者
jwt.sign({
data: '一个小时过期'
}, 'demo', { expiresIn: '1h' });
jwt.verify（token，secretOrPublicKey，[options，callback]）
用法和jwt.sign差不多，用来验证token的合法性
jwt.decode（token [，options]）
返回解码没有验证签名是否有效的payload， 用来获取payload
参考链接：JSON Web Token 入门教程，
jsonwebtoken文档， jwt.io，github: node-jsonwebtoken
