在 web 开发中，身份验证是非常重要的一部分。一般来说，我们使用用户名和密码来验证用户的身份。然而，随着 RESTful API 的广泛应用，越来越多的应用程序开始使用无状态的身份验证机制，其中最常见的是 JSON Web Token (JWT)。 它使用 JSON 对象来定义一种紧凑而安全的方式，以在网络上进行数据传输。本文将介绍如何在 Hapi 框架上实现基于 JWT 的身份验证。
什么是 JSON Web Token？
JSON Web Token 是一种互联网标准 (RFC 7519)，用于在客户端和服务器之间安全地传输信息。该标准定义了一种紧凑的、自包含的方式，用于在各方之间以 JSON 对象的形式传递信息。JWT 的主要作用是在网络应用程序和服务之间传递声明。它是为应用程序和 API 提供一种简单、标准和安全方法的解决方案。
JSON Web Token 主要由三部分组成：
- Header：如
{"alg":"HS256","typ":"JWT"}，指定了生成 JWT 所使用的算法类型以及令牌的类型； - Payload：如
{"sub":"1234567890","name":"John Doe","iat":1516239022}，包含了需要传递的信息，在实际开发中我们可以直接将用户 ID 存储在其中。其中 iat (issued at) 表示令牌的发行时间； - Signature：如
HMACSHA256(base64UrlEncode(header) + "." + base64UrlEncode(payload), secret)，使用 Header 中的算法生成一个签名，防止令牌被篡改。
一般来说，我们使用一个密钥对令牌进行签名。服务器端和客户端共享这个密钥，以确保令牌的完整性。
Hapi 框架实现 JWT 身份验证
Hapi 是一款现代化的 Node.js 框架，它提供了一种简单而强大的方式来构建 web 应用程序和服务。Hapi 有着强大的插件系统，使得我们可以通过插件的方式来实现各种重要的功能，包括身份验证。
本篇文章将使用 hapi-auth-jwt2 插件来实现 JWT 身份验证。该插件是一个既简单又直接的方式，可以在 Hapi 中轻松实现基于 JWT 的身份验证。
首先需要安装 hapi-auth-jwt2 插件：
npm install hapi-auth-jwt2 --save
完成安装后，我们需要在 Hapi 应用程序中注册 hapi-auth-jwt2 插件，并在一条路由之前添加身份验证：
-- -------------------- ---- -------
----- ---- - ----------------------
----- --- - ------------------------
----- ------ - ----- ------ ----- -- ------
----- ---- - ----- -- -- -
----- ------ - -------------
----- -----
----- -----------
---
-- -- -------------- --
----- -------------------------------------------
-- -- --- --
--------------------------- ------ -
---- -------
--------- ----- ------ -------- -- -
-- --------- -------- ------
-- ---------- - -------- ----- -
-- --------- - -------- ---- -
--
-------------- - ----------- --------- - -- ----
---
--------------------------- -- ------
-- ----------
--------------
------- ------
----- ----
-------- --------- -- -- -
------ ------- --------
--
-------- -
----- ----- -- ----------
-
---
----- ---------------
------------------- ------- --- ---------------------
--
-------该示例中，我们注册了 hapi-auth-jwt2 插件，并使用 server.auth.strategy 方法来配置身份验证策略。其中，我们指定了一个密钥，并使用 validate 函数来验证 JWT 令牌。在验证期间，我们需要从请求上下文中获取用户 ID 并进行身份验证。如果用户存在，我们返回 { isValid: true }，否则返回 { isValid: false }。
最后，我们在路由配置项的 options 对象中指定了 auth 属性，将其设置为 jwt，表明这条路由需要进行身份验证。在 Hapi 框架中，我们可以通过设置 auth.default 属性来指定默认的身份验证策略。在这个示例中，我们已经将默认策略设置为 jwt。
总结
本文介绍了 JWT 身份验证和如何在 Hapi 框架中实现基于 JWT 的身份验证。JWT 身份验证是一种流行的身份验证机制，能够在无状态的 web 应用程序和 API 中紧凑而安全的进行身份验证。hapi-auth-jwt2 插件是一个轻量级且易于使用的方案，为我们在 Hapi 中实现身份验证提供了强大的支持。
希望读者通过本文的指导，能够在开发过程中更加深入地了解身份验证的相关知识。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/648d5d7948841e9894ba9eb9