JWT 认证机制

最新推荐文章于 2025-04-12 10:28:24 发布
最新推荐文章于 2025-04-12 10:28:24 发布
阅读量1.2k 收藏 27
点赞数 12
分类专栏： nodejs 文章标签： 前端 nodejs 后端 javascript
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/qq_74114417/article/details/146445303
版权

文章目录

JWT

JSON Web Token（JWT）认证机制是一种无状态、基于令牌的身份验证方法，广泛应用于现代Web应用和API服务。

一、JWT 的核心结构

JWT由三部分组成，格式为：Header.Payload.Signature，以点分割，Base64编码。

1. Header (头部)

  • 声明令牌类型（typ: "JWT"）和签名算法（如alg:HS256）
{
  "alg": "HS256",
  "typ": "JWT"
}

2. Payload (负载)

  • 包含声明（Claims），即用户信息和其他数据。
  • 标准声明 (建议但不强制) : iss（签发者）、exp（过期时间）、sub（主题）、aud（受众）等。
  • 自定义声明 : 存放业务数据（如 userId）。
{
  "sub": "123456789",
  "name": "John Doe",
  "iat": 1516239022
}

3. Signature (签名)

  • 将Header和Payload用Base64编码后拼接，通过Header中指定的算法和密钥生成签名。
  • 示例（HMAC SHA256）:

HMACSHA256( base64UrlEncode(header) + "." + base64UrlEncode(payload), secretKey )

二、JWT 认证流程

  1. 用户登录
    客户端发送用户名密码到服务端，验证成功后生成JWT返回。
  2. 令牌存储
    客户端将JWT存储在localStorage或Cookie中。
  3. 发送请求
    每次请求API时，在Authorization头中携带JWT：Authorization: Bearer <token>
  4. 服务端验证
  • 检查签名是否有效（防篡改）。
  • 验证声明（如exp是否过期）。
  1. 授权访问
    验证通过后，服务端返回请求的资源。

三、JWT 优缺点

1. 优点

  1. ​无状态：服务端无需存储会话信息，适合分布式系统。
  2. 扩展性强：Payload可携带业务数据，减少数据库查询。
  3. ​跨域友好：适用于API网关、微服务架构。

2. 缺点

  1. 不可撤销：令牌到期前无法强制失效（需额外设计机制）。
  2. 安全性风险：令牌泄露可能导致长期权限滥用。
  3. 性能开销：频繁签名验证可能增加CPU负载。

四、JWT 安全性实践

  1. 使用 HTTPS 传输: 防止令牌在传输中被窃听。
  2. ​设置短有效期: 通过exp声明限制令牌寿命，结合Refresh Token刷新。
  3. ​强密钥管理: HS256算法需使用高强度密钥，或采用RS256非对称加密。
  4. 避免敏感数据: Payload内容可被Base64解码，勿存密码等敏感信息。
  5. 防御XSS攻击: 优先使用HttpOnly、Secure、SameSite的Cookie存储。

五、JWT 实现示例（Node.js）

1. 安装依赖

npm install express-jwt jsonwebtoken
1) jsonwebtoken
  • 用途: 用于直接生成（签名）和验证 JWT Token 的底层库。
  • 核心功能：
    • 生成 Token：将用户数据（如用户ID）通过密钥签名，生成 JWT 字符串。
    • 验证 Token：验证 JWT 是否有效（如是否被篡改、是否过期），并解码 Token 中的用户数据。
  • 典型场景：
    • 用户登录成功后，生成 Token 返回给客户端。
    • 手动验证客户端发来的 Token（例如在某些自定义逻辑中）。
2) express-jwt:
  • 用途:为 Express 框架设计的中间件，用于自动验证请求中的 JWT Token，并将解码后的数据附加到请求对象（如 req.user）。
  • 核心功能：
    • 自动从请求头、Cookie 或查询参数中提取 Token。
    • 验证 Token 的有效性。
    • 将 Token 解码后的数据（如用户信息）挂载到 Express 的 req 对象上，供后续路由使用。
  • 典型场景：
    • 保护需要身份验证的 API 路由（例如 /api/profile）。
    • 自动提取用户身份信息，无需在每个路由中手动处理 Token。

2. 配置中间件

const express = require('express');
const { expressjwt } = require('express-jwt');
const jwt = require('jsonwebtoken');

const app = express();
const SECRET_KEY = 'your_secret_key_here'; // 建议使用环境变量存储

// 配置 JWT 验证中间件
app.use(
  expressjwt({
    secret: SECRET_KEY,
    algorithms: ['HS256'], // 指定签名算法
  }).unless({
    path: ['/login', '/public'], // 排除不需要验证的路由
  })
);

3. 生成 JWT （登录接口）

// 模拟用户登录
app.post('/login', (req, res) => {
  // 假设验证用户密码成功
  const user = { id: 1, username: 'admin' };

  // 生成 JWT（有效期为 1 小时）
  const token = jwt.sign(
    { userId: user.id },
    SECRET_KEY,
    { expiresIn: '1h' }
  );

  res.json({ code: 200, token });
});

4. 访问受保护的路由

app.get('/protected', (req, res) => {
  // 通过 req.auth 获取 JWT 中的 payload 数据
  res.json({
    code: 200,
    message: '访问成功',
    user: req.auth.userId,
  });
});

5. 错误处理

自定义错误中间件

// 捕获 JWT 验证错误
app.use((err, req, res, next) => {
  if (err.name === 'UnauthorizedError') {
    return res.status(401).json({ code: 401, message: '无效或过期的令牌' });
  }
  next(err);
});

六、高级配置

1. 动态获取秘钥

如果密钥需要从数据库或其他服务动态获取

app.use(
  expressjwt({
    secret: (req, token) => {
      const { header } = token;
      // 根据 header 中的信息动态获取密钥
      return getSecretFromDB(header.keyId);
    },
    algorithms: ['HS256'],
  })
);

2. 自定义令牌位置

默认从 Authorization 头获取令牌，可自定义其他位置

app.use(
  expressjwt({
    secret: SECRET_KEY,
    algorithms: ['HS256'],
    getToken: (req) => {
      // 从 Cookie 获取
      if (req.cookies?.token) return req.cookies.token;
      // 从 Query 参数获取
      if (req.query.token) return req.query.token;
      return null;
    },
  })
);

3. 权限校验

结合角色验证（需自定义中间件)

// 检查用户角色是否为管理员
function checkAdmin(req, res, next) {
  if (req.auth.role !== 'admin') {
    return res.status(403).json({ code: 403, message: '权限不足' });
  }
  next();
}

// 管理员专用接口
app.get('/admin', checkAdmin, (req, res) => {
  res.json({ code: 200, data: '管理员数据' });
});

七、完整示例代码

const express = require('express');
const { expressjwt } = require('express-jwt');
const jwt = require('jsonwebtoken');
const cookieParser = require('cookie-parser');

const app = express();
const SECRET_KEY = 'your_secret_key';

// 解析 Cookie 和 JSON 请求体
app.use(express.json());
app.use(cookieParser());

// JWT 验证中间件
app.use(
  expressjwt({
    secret: SECRET_KEY,
    algorithms: ['HS256'],
    getToken: (req) => req.cookies.token, // 从 Cookie 获取令牌
  }).unless({ path: ['/login'] })
);

// 登录接口
app.post('/login', (req, res) => {
  const { username, password } = req.body;
  // 模拟用户验证
  if (username === 'admin' && password === '123456') {
    const token = jwt.sign(
      { userId: 1, role: 'admin' },
      SECRET_KEY,
      { expiresIn: '1h' }
    );
    res.cookie('token', token, { httpOnly: true }); // 设置 HttpOnly Cookie
    res.json({ code: 200, message: '登录成功' });
  } else {
    res.status(401).json({ code: 401, message: '用户名或密码错误' });
  }
});

// 受保护的路由
app.get('/profile', (req, res) => {
  res.json({
    code: 200,
    data: `用户ID: ${req.auth.userId}, 角色: ${req.auth.role}`,
  });
});

// 错误处理
app.use((err, req, res, next) => {
  if (err.name === 'UnauthorizedError') {
    return res.status(401).json({ code: 401, message: '身份验证失败' });
  }
  next(err);
});

// 启动服务
app.listen(3000, () => {
  console.log('Server running on http://localhost:3000');
});

八、注意事项

  • 密钥安全：
    • 不要将密钥硬编码在代码中，使用环境变量（如 process.env.SECRET_KEY）。
    • 生产环境推荐使用 RSA 非对称加密（算法 RS256）。
  • 令牌存储：
    • 推荐使用 HttpOnly Cookie 防止 XSS 攻击。
    • 避免将令牌存储在 localStorage（易受 XSS 攻击）。
  • ​令牌有效期：
    • 设置较短的过期时间（如 15 分钟），配合 Refresh Token 刷新机制。
jwt（token认证）
Seveny07的博客
11-06 2207
在介绍JWT之前，先回顾一下利用token进行用户身份验证的流程:1.客户端使用用户名和密码请求登录2.服务端收到请求，验证用户名和密码3.验证成功后，服务端会签发一个token，再把这个token返回给客户端4.客户端收到token后可以把它存储起来，比如放到cookie中5.客户端每次向服务端请求资源时需要携带服务端签发的token，可以在cookie或者header中携带6.服务端收到请求，然后去验证客户端请求里面带着的token，如果验证成功，就向客户端返回请求数据。
JWT- 认证机制
月夜寻花香的博客
12-09 605
关于JWT，我们在之前的Django项目中刚刚用到，它是基于json数据结构的认证规范，简单来说就是验证用户登录状态，跟之前的session很类似，那么， 我们为什么用JWT而不用session呢？ 首先我们要了解一下HTTP： http协议本身是一种无状态的协议，这就意味着每次请求API的时候， 都会把用户名和密码传给服务端，当我们通过http请求发送给服务端的时候，很有可能将我们的用户名密码直...
JWT认证服务与授权 .netCore
最新发布
ly1h1的博客
04-12 1608
JWT认证服务与授权
什么是JWT
weixin_30604651的博客
08-21 619
什么是JWT Json web token (JWT), 是为了在网络应用环境间传递声明而执行的一种基于JSON的开放标准（(RFC 7519).该token被设计为紧凑且安全的，特别适用于分布式站点的单点登录（SSO）场景。JWT的声明一般被用来在身份提供者和服务提供者间传递被认证的用户身份信息，以便于从资源服务器获取资源，也可以增加一些额外的其它业务逻辑所必须的声明信息，该toke...
JWT认证机制
weixin_45650502的博客
03-29 437
JWT会将用户的信息通过Token字符串的形式，保存在客户端浏览器中，然后服务器通过还原Token字符串的形式来认证用户的身份。
jwt 认证
天行健，君子以自强不息；地势坤，君子以厚德载物。
04-13 8764
JSON Web Token（缩写 JWT）是目前最流行的跨域认证解决方案。1. 基于token的认证当用户成功登录系统并成功验证有效之后，服务器会利用某种机制产生一个token字符串，这个token中可以包含很多信息，例如来源IP，过期时间，用户信息等， 把这个字符串下发给客户端，客户端在之后的每次请求中都携带着这个token，携带方式其实很自由，无论是cookie方式...
【数据库与身份认证】MySQL学习、Session和JWT认证机制实现
zilin_taku的博客
09-21 495
将JWT字符串解析还原成JSON对象。的传统 Web开发模式。的新型Web开发模式。
Vue项目使用JWT认证机制实现示例
4. JWT认证机制的应用：代码段中提到了一个名为"auth"的模块，该模块负责JWT的校验和认证功能。这是Vue应用中实现用户认证的一种常见实践。auth.checkAuth()函数在Vue实例启动时被调用，以检查用户是否拥有有效的...
NET 6中JWT认证机制的实现示例
知识点概述： ... ... ...2. JWT认证机制： - JWT（JSON Web Tokens）是一种开放标准（RFC 7519），它定义了一种...通过以上知识点的深入理解，可以更好地掌握如何在.NET 6项目中实现JWT认证机制，确保应用的安全性和高效性。
Spring Security JWT认证机制详解
通过上述知识点的分析，可以看出，"springsecurity-jwt"这一主题涉及到了Java Web安全性的多个方面，重点在于利用Spring Security框架实现JWT认证机制的过程与实践。了解这些知识能够帮助开发者构建出更为安全的Web...
Flask JWT认证机制详解及示例
通常这样的项目会包含创建、验证JWT所需的所有代码以及可能的Flask应用集成示例，允许开发者快速理解和部署JWT认证机制。 总体来说，JWT提供了一种简洁而强大的方法来处理Web应用中的身份验证和授权问题，它在现代...
Jwt认证
在努力学习的路上
03-05 1150
jwt认证、拦截器、token过期时间
JWT认证
Yietong的博客
10-12 1880
上面我们都是基于auth_user表去做签发认证的，但是我们日常基本程序都是自定义的表来做认证，所以我们来试试自定义user表models.pyviews.py# # 登录后才能访问，加一个认证类，# # 使用jwt提供的认证类必须要配合权限类使用## 自定义的用户签发tokentry:# 根据user签发token【三部分，头，荷载，签名】# 使用jwt模块签发token的函数，生成token。
JWT - 令牌认证（认证流程和原理、Jwt 工具类、搭配 Redis 使用）
热门推荐
CYK_byte的博客
10-13 2万+
1. 首先前端将用户名和密码发送给后端，后端对用户名和密码校验成功后，会将用户 id 和其他信息作为 payload ，然后将其分别进行 Base64 编码，拼接，最后再签名，形成一个 JWT（Token）. 形成的 JWT 就形同 xxx.yyy.zzz 这种结构的字符串.http 协议是一种无状态的协议，也就意味着当用户第一次通过用户名和密码登录成功以后，下一次再请求的时候，用户还需要再进行登录才行，因为根据 http 协议，我们不能知道是哪个用户发出的请求.
几种常用的认证机制
诚的博客
12-14 1742
HTTP Basic Auth HTTP Basic Auth在HTTP中，基本认证是一种用来允许Web浏览器或其他客户端程序在请求时提供用户名和口令形式的身份凭证的一种登录验证方式，通常用户名和明码会通过HTTP头传递。 在发送之前是以用户名追加一个冒号然后串接上口令，并将得出的结果字符串再用Base64算法编码。 例如 用户名是Aladdin、口令是open sesame，则拼接后的结果就是Aladdin:open sesame， 然后再将其用Base64编码，得到QWxhZGRpbjpvc.
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值