JWT认证机制在Node.js中的详细阐述

🕗 发布于 2024-12-27 03:58 node.js jwt认证机制前端安全认证

一、概念

JWT（JSON Web Token）是一种基于Token的认证机制，它允许服务器无状态地验证用户身份。JWT是一个开放标准（RFC 7519），它定义了一种简洁的、自包含的用于各方之间安全传输信息的JSON对象。JWT通常被用于在身份提供者和服务提供者之间传递认证的用户身份信息，使用户能够无缝地访问受保护的资源。

二、原理

JWT实际上就是一个字符串，通常由三部分组成，分别是头部（Header）、有效载荷（Payload）和签名（Signature）。这三部分通过.分隔符连接成一个完整的JWT令牌。

头部（Header）：包含令牌类型和加密算法的信息，通常是一个JSON对象，然后进行Base64编码。
有效载荷（Payload）：包含声明（Claims），这些声明是关于实体（通常是用户）和其他数据的信息。声明可以是标准声明（如发行人、面向的用户、过期时间等）、公共声明（双方共同定义的键值）或私有声明（提供者和消费者自定义的信息）。Payload也是一个JSON对象，然后进行Base64编码。
签名（Signature）：是对头部和有效载荷的加密，以确保消息在传输过程中不被篡改。签名通常使用头部中指定的加密算法和服务器端的密钥对头部和有效载荷的字符串表示进行签名。

三、JWT的工作流程

用户认证：当用户尝试访问受保护的资源时，服务器会要求用户进行认证。这通常涉及用户名和密码的验证。
生成JWT：一旦用户成功认证，服务器会生成一个JWT。这个JWT包含了用户的身份信息（如用户ID、角色等）和其他相关数据，以及一个签名，以确保令牌的真实性和完整性。
返回JWT：服务器将生成的JWT返回给客户端。客户端可以将JWT存储在本地（如浏览器的localStorage），以便在后续请求中使用。
携带JWT：客户端在每次请求受保护的资源时，都会在请求的头部或URL中携带JWT。这通常是通过在HTTP请求的Authorization头中添加Bearer来实现的。
验证JWT：服务器在收到请求后，会首先验证JWT的签名，以确保其真实性和完整性。然后，服务器会解析JWT中的有效载荷，获取用户信息和其他数据，并根据这些信息执行相应的操作。

四、JWT的安全性

JWT的安全性主要依赖于以下几点：

签名算法：JWT使用头部中指定的签名算法对头部和有效载荷进行签名。只有持有正确密钥的服务器才能生成有效的签名，从而确保JWT的真实性和完整性。
密钥管理：密钥的保密性至关重要。服务器应定期更换密钥，并妥善保管，以防止密钥泄露。
防止重放攻击：重放攻击是指攻击者捕获有效的JWT后，在令牌过期之前重复使用该令牌。为了防止重放攻击，可以在有效载荷中加入时间戳或nonce（一次性数字），并在服务器端进行验证。
防止暴力破解：选择足够复杂的密钥，并设置合理的签名算法，可以增加暴力破解的难度。

五、实现方法

在Node.js中，可以使用jsonwebtoken库来实现JWT的生成和验证。以下是一个简单的例子：

安装依赖

npm install express jsonwebtoken body-parser

创建一个名为server.js的文件

const express = require('express');
const jwt = require('jsonwebtoken');
const bodyParser = require('body-parser');
const app = express();
const port = 3000;
// 密钥，用于签名和验证JWT
const secretKey = 'your-secret-key';
// 中间件，解析JSON请求体
app.use(bodyParser.json());
// 用户数据（在真实应用中，这些数据通常来自数据库）
const users = [
    { id: 1, username: 'testuser', password: 'password123' } // 请勿在生产环境中使用明文密码
];
// 登录路由
app.post('/login', (req, res) => {
    const { username, password } = req.body;
    const user = users.find(u => u.username === username && u.password === password);
    
    if (!user) {
        return res.status(401).json({ message: 'Invalid username or password' });
    }
    // 生成JWT令牌
    const token = jwt.sign({ userId: user.id }, secretKey, { expiresIn: '1h' });
    
    res.json({ token });
});
// 中间件，验证JWT令牌
const authenticateJWT = (req, res, next) => {
    const authHeader = req.headers['authorization'];
    const token = authHeader && authHeader.split(' ')[1];
    
    if (token == null) {
        return res.sendStatus(401); // 如果没有令牌，返回401
    }
    jwt.verify(token, secretKey, (err, user) => {
        if (err) {
            return res.sendStatus(403); // 如果令牌无效，返回403
        }
        
        req.user = user; // 将解码后的令牌附加到请求对象上，供后续中间件或路由处理函数使用
        next(); // 调用next()函数以继续处理请求
    });
};
// 受保护的路由
app.get('/protected', authenticateJWT, (req, res) => {
    res.json({ message: 'This is a protected route', userId: req.user.userId });
});
// 启动服务器
app.listen(port, () => {
    console.log(`Server is running on http://localhost:${port}`);
});

在这个例子中：

我们创建了一个简单的Express应用，并设置了一个端口（3000）。
我们定义了一个users数组来模拟用户数据（在实际应用中，这些数据应该来自数据库）。
我们创建了一个/login路由，用于处理用户登录请求。如果用户提供的用户名和密码与users数组中的某个用户匹配，则生成一个JWT令牌并返回给客户端。
我们创建了一个中间件authenticateJWT，用于验证客户端请求中的JWT令牌。如果令牌有效，则将解码后的令牌附加到请求对象上，并调用next()函数以继续处理请求。如果令牌无效或缺失，则返回相应的HTTP状态码（401或403）。
我们创建了一个受保护的路由/protected，该路由使用authenticateJWT中间件进行验证。如果请求成功通过验证，则返回一条消息和用户ID。

要测试这个应用，你可以使用Postman或curl来发送HTTP请求。例如，你可以使用以下curl命令来模拟用户登录并获取JWT令牌：

curl -X POST http://localhost:3000/login -H "Content-Type: application/json" -d '{"username":"testuser","password":"password123"}'

然后，你可以使用返回的JWT令牌来访问受保护的路由。例如，将令牌添加到Authorization头中：

curl -X GET http://localhost:3000/protected -H "Authorization: Bearer <your-jwt-token>"

请将替换为实际从登录请求中获取的JWT令牌。

六、优缺点

优点：

无状态：服务器不需要存储会话信息，减少了服务器的资源消耗，提高了系统的可伸缩性和响应速度。
跨域支持：JWT可以轻松地在多个域之间进行传递和使用，实现跨域授权。
安全性：JWT可以通过数字签名来确保其完整性和真实性，防止伪造和篡改。同时，还可以使用加密的方式来增加安全性。
可扩展性：JWT是基于JSON的标准，可以轻松地添加自定义声明，以满足不同的应用程序需求。

缺点：

令牌过期问题：JWT的令牌过期时间是固定的，无法在令牌生成后更改。如果攻击者获取了有效的JWT令牌，他们可以在令牌过期之前一直使用该令牌。
令牌大小问题：JWT令牌的大小通常比Session令牌大，因为它包含了更多的信息。这可能会导致网络传输速度变慢。
无法撤销问题：一旦JWT令牌生成，就无法撤销。如果需要撤销令牌，必须等待令牌过期或更改密钥。

七、意义

JWT认证机制在Node.js中的应用具有重要意义。它提供了一种简洁、自包含的认证方式，使得服务器可以无状态地处理请求，提高了系统的可扩展性和性能。同时，JWT还支持跨域通信和自定义声明，满足了不同应用程序的需求。在安全性方面，JWT通过数字签名和加密机制确保了令牌的完整性和真实性，防止了伪造和篡改。因此，JWT认证机制在Web应用和移动应用中得到了广泛应用和推广。

原文地址：https://blog.csdn.net/chen_ac/article/details/144653576

免责声明：本站文章内容转载自网络资源，如本站内容侵犯了原著者的合法权益，可联系本站删除。更多内容请关注自学内容网（zxcms.com）！

上一篇：QtCreator配置github copilot实现AI辅助编程
下一篇：深度学习中的并行策略概述：2 Data Parallelism

uni-app开发收货地址管理
收货地址在个人中心的我的地址里面，点击我的地址可以查看我的收货地址列表，可以新增收货地址，点击特定收货地址可以编辑和删除该地址信息。// 加载loding。
阅读更多2024-12-27
hive的存储格式
hive5种存储格式的区别
阅读更多2024-12-27
基于 MATLAB 的图像增强技术分享
MATLAB 的图像处理工具箱提供了大量用于图像增强和处理的函数，如imread用于读取图像，imwrite用于保存图像，rgb2gray用于将彩色图像转换为灰度图像，imhist用于计算图像的直方图
阅读更多2024-12-27
taiwindcss
注意：一定通过px tailwindcss init方式创建。6.问题，如果这几个步骤发现没有实现，删除包以后重新试一下。5.因为tailwindcss是依赖于postcss。创建postcss.co
阅读更多2024-12-27
“Gold-YOLO：基于聚合与分发机制的高效目标检测新范式”
Gold-YOLO是一种新型高效的目标检测模型，它通过引入聚合和分发机制显著提升了多尺度特征融合的能力。Gold-YOLO通过其创新的GD机制，在目标检测领域实现了最佳性能，尤其是在处理多尺度物体时。
阅读更多2024-12-27
典型常见的基于知识蒸馏的目标检测方法总结一
使用feature propagation layer [29]将voxel特征转换为point feature。
阅读更多2024-12-27
CSS系列（37）-- Overscroll Behavior详解
CSS之旅第三十七站
阅读更多2024-12-27
最短路径C++，Dijkstra
第一行为有向图中点的数量n（各点从0到n-1编号）第二行为边的数量m第三行为要求其间最短路径的两个点第四行起为m条边的信息，包括起点、终点和路径长度（保证长度是整数，且绝对值不大于100），以空格隔开
阅读更多2024-12-27
题海拾贝：蓝桥杯 2020 省AB 乘法表
输出P进制下的乘法表。P 进制中大于等于 10 的数字用大写字母 A、8、C、.·表示。九九乘法表是学习乘法时必须要掌握的。在不同进制数下，需要不同的乘法表。给定 P，请输出P 进制下的乘法表。
阅读更多2024-12-27
力扣-数据结构-3【算法学习day.74】
##我做这类文章一个重要的目的还是给正在学习的大家提供方向（例如想要掌握基础用法，该刷哪些题？建议灵神的题单和代码随想录）和记录自己的学习过程，我的解析也不会做的非常详细，只会提供思路和一些关键点，力
阅读更多2024-12-27