本文将介绍npm包——jsonjwt的使用方法与注意事项，jsonjwt是一种用于安全地传递信息的开放式标准，通常用于身份验证和授权操作。它是由JSON Web Token（JWT）规范定义的标准。接下来将对npm包——jsonjwt库进行详细讲解。
什么是JSON Web Token
JWT是一种开放式标准（RFC 7519），它定义了一种紧凑且自包含的方式，来在各个场景下安全地传输信息。这种方式是以JSON格式表示的，并适用于由JWT颁发者签发的数据。JWT可用于身份验证（例如登录）和授权（例如访问特定资源），并是现代web应用程序中采用的常见方法之一。
JWT由三个部分组成：一个头部部分，一个 payload 部分和一个签名部分。其中，头部和 payload 部分是使用 base64Url 进行编码的 JSON 对象，签名部分由使用头部中指定的算法（通常是HMAC SHA256或RSA）对编码后的头部和 payload 进行签名后得到的一串字符串。
安装jsonjwt
首先，您需要在npm上安装jsonjwt。使用以下命令进行安装：
npm install jsonwebtoken
使用jsonjwt
创建 Token
您可以使用如下函数创建一个JWT Token：
const jwt = require('jsonwebtoken');
const token = jwt.sign({ foo: 'bar' }, 'shhhhh');
console.log(token);第一行导入了 jsonwebtoken 模块, 然后调用 jwt.sign() 函数创建了一个JWT Token。该函数接受两个参数：一个对象（我们称之为负载或有效载荷），和一个字符串变量（我们称之为秘钥或密钥）。所创建的 Token 将包含我们指定的有效载荷，并由传入的秘钥进行签名。
验证 Token
您可以使用如下函数验证一个JWT Token：
-- -------------------- ---- ------- ----- --- - ------------------------ ----- ----- - ---------- ---- ----- -- ---------- --- - ----- ------- - ----------------- --------- ------------------------ -- --- - ---------- - -- ------ -
之前，我们已经创建了一个JSON Web Token。这次，我们调用jwt.verify()函数来对它进行验证，这个函数接受两个参数：Token 和秘钥。如果Token验证成功，它将解码出我们之前传递的负载，并将其保存在可以访问的对象中。
token 过期
创建一个8小时后过期的 Token，可以像代码如下这样实现：
const jwt = require('jsonwebtoken');
const token = jwt.sign({ foo: 'bar' }, 'shhhhh', { expiresIn: '8h' });发布时间和失效时间
还可以设置 Token 的发布时间和失效时间：
const jwt = require('jsonwebtoken');
const token = jwt.sign({ foo: 'bar', iat: Math.floor(Date.now() / 1000) }, 'shhhhh', { expiresIn: '8h' });其中iat(发布 datetime)是可选的，但建议设置该字段。
最佳实践
以下是一些JWT最佳实践：
- 不要存储过多敏感信息。载荷数据应该被限制为身份验证和授权所需的最小信息。
- 确认 Token 签名正确，并始终进行 Token 验证来防止 JWT 签名不一致或过期。
- 不要保存敏感信息在本地储存或数据库中查阅，可以使用会话或数据库提供的其他存储机制。
- 始终使用HTTPS来保障通信的安全性。
总结
在本文中，我们了解了JWT和如何安全地使用JSON Web Token进行身份验证和授权。我们还学习了如何使用npm包 jsonjwt 来创建和验证 JSON Web Tokens，并介绍了常见的附加功能。作为一名前端开发人员，使用 JSON Web Tokens 可以加强您的应用程序的安全性。最后，我们还介绍了一些使用 JWT 最佳实践，不断提升我们应用程序的安全性。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/600671d630d0927023822c06