1.14 express小项目和用到的 jwt详解

chxii

已于 2025-06-19 16:48:29 修改

阅读量617

点赞数 10

CC 4.0 BY-SA版权

分类专栏： vue3 # nodejs 文章标签： node.js

于 2025-06-13 11:48:42 首次发布

本文链接：https://blog.csdn.net/chxii/article/details/148629394

vue3 同时被 2 个专栏收录

72 篇文章

订阅专栏

nodejs

25 篇文章

订阅专栏

我们做go最后项目这次改为 nodejs 重写后端

原文章:2.4.4goweb项目完结-CSDN博客文章浏览阅读647次，点赞15次，收藏7次。用户登录认证- 图书信息管理（浏览、新增）- HTML5 ：使用语义化标签构建页面结构-https://chxii.blog.csdn.net/article/details/147311462?spm=1011.2415.3001.5331

nodejs重写项目地址:

https://gitcode.com/chxii/NodeJS_01

json web token 介绍

JWT 是一种开放标准（RFC 7519），用于在各方之间安全地传输信息。

一、核心概念

1. JWT 的结构

JWT 由三部分组成，用点（.）分隔：

header.payload.signature

Header（头部）：
包含令牌类型（通常是 JWT）和使用的签名算法（如 HS256、RS256）。
Payload（负载）：
包含声明（Claims），即关于实体（通常是用户）和其他数据的声明。
- 注册声明：如 iss（发行人）、sub（主题）、exp（过期时间）等。
- 公开声明：由各方自由定义。
- 私有声明：在同意使用的各方之间定义。
Signature（签名）：
用于验证消息未被篡改，并且在使用私钥签名的情况下，还可以验证 JWT 的发送者身份。

二、工作流程

用户登录：
用户提供凭据（如用户名和密码）。
服务器验证：
服务器验证凭据，如果有效则创建 JWT。
返回令牌：
服务器将 JWT 返回给客户端。
客户端存储：
客户端（通常是浏览器）存储 JWT（如 localStorage、cookie 或内存）。
后续请求：
客户端在每个请求中包含 JWT（通常在 Authorization 头中，格式为 Bearer <token>）。
服务器验证：
服务器验证 JWT 的签名和有效性，然后处理请求。

三、JWT 示例

1. 生成 JWT

安装 jsonwebtoken 包：

npm install jsonwebtoken

const jwt = require('jsonwebtoken');

// 密钥（实际应用中应保存在环境变量中）
const secretKey = 'your-secret-key';

// 载荷数据
const payload = {
  userId: 123,
  username: 'john_doe',
  role: 'admin'
};


const options = {
  expiresIn: '1h' // 过期时间，也可以写成数字如 3600（单位是秒）
};

const token = jwt.sign(payload, secretKey, options);

console.log('Generated Token:', token);

2. JWT 解析 (如果你只想解析 token 的内容而不验证签名（比如查看 header 或 payload）)

原生base64解码

// 典型的 JWT 示例
const jwtToken = 'eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1c2VySWQiOjEyMywidXNlcm5hbWUiOiJqb2huX2RvZSIsInJvbGUiOiJhZG1pbiIsImlhdCI6MTYxMjM0NTY3OCwiZXhwIjoxNjEyMzQ5Mjc4fQ.abcdef1234567890';

// 解析头部
const [encodedHeader, encodedPayload, signature] = jwtToken.split('.');
const header = JSON.parse(Buffer.from(encodedHeader, 'base64').toString());
const payload = JSON.parse(Buffer.from(encodedPayload, 'base64').toString());

console.log('Header:', header);
console.log('Payload:', payload);
console.log('Signature:', signature);

使用jwt库jsonwebtoken：

const parts = jwt.decode(token, { complete: true });
console.log('Header:', parts.header);
console.log('Payload:', parts.payload);

3. 验证 JWT

const jwt = require('jsonwebtoken');
const secretKey = 'your-secret-key';

// 客户端发送的令牌
const token = '...';

// 验证令牌
jwt.verify(token, secretKey, (err, decoded) => {
  if (err) {
    console.error('无效的令牌:', err.message);
    return;
  }
  
  console.log('解码后的载荷:', decoded);
});

2. 常见验证错误

TokenExpiredError：令牌已过期。
JsonWebTokenError：无效的签名、格式错误等。
NotBeforeError：令牌尚未生效（nbf 声明）。

四、与 Express 集成

1. 中间件验证

const express = require('express');
const jwt = require('jsonwebtoken');
const app = express();

// 密钥
const secretKey = 'your-secret-key';

// 验证中间件
const authenticateToken = (req, res, next) => {
  // 从头部获取令牌
  const authHeader = req.headers['authorization'];
  const token = authHeader && authHeader.split(' ')[1];
  
  if (!token) {
    return res.status(401).send('未提供令牌');
  }
  
  // 验证令牌
  jwt.verify(token, secretKey, (err, user) => {
    if (err) {
      return res.status(403).send('无效的令牌');
    }
    
    // 将用户信息添加到请求对象
    req.user = user;
    next();
  });
};

// 受保护的路由
app.get('/protected', authenticateToken, (req, res) => {
  res.json({ message: '受保护的资源', user: req.user });
});

app.listen(3000);

六、刷新令牌（Refresh Token）实现示例


// 刷新访问令牌的路由
app.post('/token', (req, res) => {
  const refreshToken = req.body.token;
  
  if (!refreshToken) {
    return res.status(401).send('未提供刷新令牌');
  }

  
  jwt.verify(refreshToken, refreshSecret, (err, user) => {
    if (err) {
      return res.status(403).send('无效的刷新令牌');
    }
    
    // 生成新的访问令牌
    const accessToken = jwt.sign({ userId: user.userId }, accessSecret, { expiresIn: '15m' });
    res.json({ accessToken });
  });
});