按照常规，用户登录成功的时候是会返回一个token值，前端就可以将这个token存储到cookie中随后在其他接口使用的时候放置在Headers中进行传递。
实现这个功能，首先需要了解JWT Secret（密钥）与JWT（Token）。
JWT Secret (密钥):
- 这是一个私有的字符串，仅在服务器端使用。
- 它用来对Token进行签名，以确保Token的完整性和真实性。
- 服务器在创建Token时使用这个密钥来签名，在接收到Token时也用它来验证Token的有效性。
- 密钥应该保密，并且不应该暴露给客户端或第三方。
JWT (Token):
- 每个用户登录成功后都会收到一个唯一的JWT。
- JWT包含了一些声明（claims），比如用户的ID、过期时间等。
- 客户端（例如浏览器或移动应用）会在后续请求中携带这个Token，通常是通过HTTP头部的Authorization字段。
- 服务器会验证Token的签名，检查它的有效性和完整性，然后根据Token中的信息来识别用户身份。
接下来，需要考虑如何安全的生成一个密钥且放置在一个安全的地方~
将JWT密钥配置在环境变量中（如process.env.JWT_SECRET）是目前推荐的做法之一，但安全性取决于你如何管理和保护这些环境变量。以下是几个关键点来确保这种方式的安全性：
-
不要硬编码密钥
避免将密钥直接写入代码库或配置文件中，因为这可能会导致它们被意外泄露。使用环境变量可以有效防止这种情况发生。 -
使用.env文件时要小心
如果你选择使用.env文件来管理环境变量，请确保这个文件不会被提交到版本控制系统中。你应该在项目的根目录下创建一个.gitignore文件，并添加如下内容：
.env
这样可以确保.env文件不会被Git追踪和上传。
-
限制对环境变量的访问
确保只有必要的进程和服务能够读取环境变量。在生产环境中，操作系统级别的权限设置和容器化技术（如Docker）可以帮助你更好地控制谁可以访问这些变量。 -
在生产环境中安全地传递环境变量
对于生产部署，考虑使用云服务提供商的安全特性来管理秘密信息。例如：
- AWS Secrets Manager 或 AWS Systems Manager Parameter Store
- Azure Key Vault
- Google Cloud Secret Manager
- HashiCorp Vault
这些服务允许你在不暴露敏感信息的情况下，安全地存储和检索密钥等重要数据。
-
定期更新密钥
即使采取了所有预防措施，也应该定期更新你的JWT密钥。这有助于减少长期使用的同一密钥可能带来的风险。当更换密钥时，确保有适当的策略处理现有Token的有效性问题，比如实现刷新Token机制。 -
使用强随机密钥
确保生成的JWT密钥足够强大且随机。你可以使用密码学安全的伪随机数生成器（CSPRNG）来创建密钥，而不是简单的字符串。 -
加密环境变量（可选）
在某些情况下，你还可以选择加密环境变量本身，然后在应用程序启动时解密。不过这种方法增加了复杂性，通常只在高度敏感的应用场景中使用。 -
审计和监控
定期审查和监控对环境变量的访问日志，以检测任何异常行为。这可以帮助你及时发现潜在的安全漏洞。
这里咱们的条件有限，就只模拟一下在环境变量中存储密钥吧。
先安装需要的插件
npm install jsonwebtoken bcryptjs
根目录下创建init-env.js，.gitignore（这个看项目是否提交到github咯，不提交的话可以不搞）,init-env.js的作用就是没有.env文件的时候在根目录下自动生成一个，然后赋值
const fs = require('fs');
const crypto = require('crypto');if (!fs.existsSync('.env')) {const jwtSecret = crypto.randomBytes(32).toString('base64');fs.writeFileSync('.env', `JWT_SECRET=${jwtSecret}`);console.log('.env file created with JWT_SECRET.');
} else {console.log('.env file already exists.');
}
这里还需要在package.json中加入一段代码，项目运行之后就可以正常执行是否生成.env
"scripts": {"test": "echo \"Error: no test specified\" && exit 1","predev": "node init-env.js", "dev": "nodemon app.js"},
.env 文件生成后就有一个变量咯
JWT_SECRET=xdHKwg41O6SjdRD61e/iCi9PYIVCtaIy430xo3wcXyk=
在app.js入口文件中也加上
const crypto = require('crypto');// 如果 .env 文件中没有 JWT_SECRET，则生成一个新的
if (!process.env.JWT_SECRET) {const newSecret = crypto.randomBytes(32).toString('base64');// 这里可以根据实际情况选择是否更新 .env 文件// fs.writeFileSync('.env', `JWT_SECRET=${newSecret}`, { flag: 'a' });process.env.JWT_SECRET = newSecret;
}
最后回到我们的路由中去进行处理，在登录的api方法中，添加登录成功后token的生成，其实token的值就是根据上面的JWT_SECRET 与用户信息结合生成
const jwt = require("jsonwebtoken");
// 用户登录
router.post("/users/login",[body("user.username").notEmpty().withMessage("用户名不能为空"),body("user.password").notEmpty().withMessage("密码不能为空").bail().custom(async (password, { req }) => {const user = await User.findOne({ username: req.body.user.username });if (!user) {return Promise.reject("账户或密码错误，请检查！");}// 比较提供的密码与数据库中存储的哈希密码const isMatch = await bcrypt.compare(password, user.password);if (!isMatch) {return Promise.reject("账户或密码错误，请检查！");}return true;}),],async (req, res, next) => {const errors = validationResult(req);if (!errors.isEmpty()) {return res.status(400).json({ errors: errors.array()[0] });};try {// 获取用户信息const user = await User.findOne({ username: req.body.user.username });// 创建tokenconst token = jwt.sign({ userId: user._id }, process.env.JWT_SECRET, {expiresIn: "1h",});// 返回tokenres.json({message: "登录成功",token,user: {id: user._id,username: user.username,},});} catch (error) {console.error(error);res.status(500).json({ message: "服务器错误" });}},userCtrl.login
);
然后，来到postman,我们尝试调用这个api，看看返回值
接下来，继续看看token的校验咯，按照原计划，我们将进一步完善其它的接口，将其它的接口的头部加上token进行传递，然后我们添加token校验。以获取当前登录用户信息为例。
1.创建middleware\authMiddleware.js，封装中间件
const jwt = require("jsonwebtoken");function authenticateToken(req, res, next) {const authHeader = req.headers["authorization"];const token = authHeader && authHeader.split(" ")[1]; // Bearer <token>if (!token) return res.sendStatus(401); // 如果没有token，返回401 Unauthorizedjwt.verify(token, process.env.JWT_SECRET, (err, user) => {if (err) return res.sendStatus(403); // 如果验证失败，返回403 Forbidden// 将用户信息附加到req对象上，以便后续路由使用req.user = user;next(); // 继续执行下一个中间件或路由处理函数});
}
module.exports = authenticateToken;
2.在controller/user.js文件中完善根据用户id获取用户信息的get API
// 获取当前登录用户的信息
exports.getCurUser = async (req, res) => {try {const user = await User.findById(req.body.user.id).select('-password');//获取除密码以外的信息if (!user) {return res.status(404).json({ message: "用户未找到" });}res.json({message: "获取用户信息成功",data: {id: user._id,username: user.username,email: user.email,},});} catch (error) {console.error(error);res.status(500).json({ message: "服务器错误" });}
};
3.在router\user.js文件中引入token的校验中间件方法
const authenticateToken = require("../middleware/authMiddleware");
// 获取当前登录用户信息
router.get("/user",[body("user.id").notEmpty().withMessage("用户id不能为空")],authenticateToken,(req, res,next) => {const errors = validationResult(req);if (!errors.isEmpty()) {return res.status(400).json({ errors: errors.array()[0] });}next()},userCtrl.getCurUser
);
- 进行测试
