在进行前端开发时，我们通常会使用 Express.js 作为我们的后端框架，同时也需要确保我们的应用程序具有足够的安全性。JSON Web Token（JWT）已经成为了现代 Web 应用程序中常用的安全验证方式之一，本文将介绍在 Express.js 中使用 JWT 进行安全验证的方法和最佳实践。
什么是 JSON Web Token？
JWT 是一种开放标准，定义了一种紧凑且自包含的方式，用于跨网络传输信息，通常被用于身份验证和授权。JWT 由三部分组成：
- Header：头部通常包含了两个属性：alg（算法）和 typ（类型）。alg 属性指定了用于签名和验证 token 的算法，通常使用的是 HMAC SHA256 或 RSA。typ 属性表示 token 的类型，它必须是 JWT。
- Payload：有效负载包含了一些有关用户和请求的信息，如用户 ID、角色等。
- Signature：签名是最重要的一部分，它用于验证消息的完整性，避免篡改。
JWT 是基于 Base64 编码的，所以它的传输效率比较高，也比较容易处理。
在 Express.js 中使用 JWT
要在 Express.js 中使用 JWT 进行安全验证，我们需要实现以下步骤：
1. 安装所需的库
我们需要安装 jsonwebtoken 库，该库提供了一些实用的函数来创建和验证 JWT。
npm install jsonwebtoken --save
2. 设置 JWT 密钥
我们需要设置一个用于签名和验证 JWT 的密钥。在本例中，我们将使用一个环境变量作为密钥，以避免硬编码密钥。
const jwtSecret = process.env.JWT_SECRET || 'your_secret_key';
3. 实现 JWT 签发
我们需要实现一个函数，用于签发 JWT。该函数将接收一个有效负载作为参数，并使用 jsonwebtoken 库创建 JWT。
const jwt = require('jsonwebtoken');
function signJWT(payload) {
const token = jwt.sign(payload, jwtSecret);
return token;
}4. 实现 JWT 验证
我们需要实现一个中间件函数，用于验证接收到的请求是否具有有效的 JWT。该函数将使用 jsonwebtoken 库验证 JWT 的完整性，并将解码的有效负载作为 req.user 存储。
-- -------------------- ---- -------
-------- -------------------- ---- ----- -
----- ---------- - --------------------------
-- ------------ -
----- ----- - ------------------ ------
----------------- ---------- ----- ----- -- -
-- ----- -
------ --------------------
-
-------- - -----
-------
---
- ---- -
--------------------
-
-5. 使用 JWT 进行安全验证
我们可以在我们的路由中使用 authenticateJWT() 中间件来确保请求具有有效的 JWT，如下所示：
const express = require('express');
const app = express();
app.get('/protected', authenticateJWT, (req, res) => {
const userId = req.user.id;
// 在这里使用用户 ID 执行一些检查或返回响应
});JWT 的最佳实践
为了确保使用 JWT 验证的最高安全水平，以下是一些最佳实践：
1. 设置 JWT 过期时间
当签发 JWT 时，我们应该设置一个过期时间，并在验证 JWT 时检查它是否过期。
const token = jwt.sign(payload, jwtSecret, { expiresIn: '1h' });2. 不要在 JWT 中包含敏感信息
尽量不要将敏感信息存储在 JWT 的有效负载中，因为任何人都可以解码 JWT。
3. 使用 HTTPS 协议
为了确保 JWT 的传输安全，我们应该使用 HTTPS 协议来传输它们。
4. 重新颁发 JWT
当 JWT 过期时，我们应该使用刷新令牌重新颁发 JWT，而不是使用长期有效的 JWT。
5. 使用第三方认证服务
为了确保最高安全级别，我们建议使用受信任的第三方认证服务，如 Google、Microsoft、Facebook 等。
总结
本文介绍了在 Express.js 中使用 JSON Web Token 进行安全验证的方法和最佳实践。我们可以使用 jsonwebtoken 库来签发和验证 JWT，并实现一些最佳实践来确保最高安全性。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/64a8f6c548841e989454ad51