什么是 JWT？
JWT（JSON Web Token）是一种由 JSON 对象组成的开放标准，用于在网络应用间传递声明。它可以通过数字签名或加密保证信息的安全性，可以用于身份验证和安全数据交换。
JWT 通常由三部分构成：头部、载荷和签名。头部用于描述 JWT 的元数据，例如使用的加密算法。载荷是 JWT 的主体部分，用于存储有关用户或其他信息的数据。签名是一个数字签名，用于验证 JWT 的来源和完整性。
Fastify 应用中的 JWT 问题
Fastify 是一个快速、低开销且高度可定制的 Web 应用框架，它使用严格的类型检查和运行时错误捕获来提高代码的可读性和可维护性。Fastify 的设计使其可以创建高性能的 Web 服务，但是对于处理 JWT 时存在一个重要而常见的问题：未签名的 JWT。
未签名的 JWT 是一个没有经过数字签名或加密的 JWT，这意味着它的内容可以被轻易地篡改或伪造。在 Fastify 应用中使用未签名的 JWT 可以导致严重的安全风险，可能会被黑客用来访问敏感数据或执行恶意操作。
解决方法
在 Fastify 应用中，可以通过使用 fastify-jwt 和 fastify-auth 插件来解决未签名的 JWT 问题。
使用 fastify-jwt
Fastify-jwt 提供的 jwt.sign 和 jwt.verify 方法可以让我们方便地生成和验证签名的 JWT。在 Fastify 应用中，我们可以使用 fastify-jwt 插件在路由处理程序中轻松地使用 JWT。
首先，我们需要在应用程序中注册 fastify-jwt 插件：
const fastifyJwt = require('fastify-jwt')
fastify.register(fastifyJwt, {
secret: 'mysecret'
})接下来，在路由处理程序中使用 fastify.jwt.sign 来生成 JWT，并使用 fastify.jwt.verify 来验证 JWT：
-- -------------------- ---- -------
---------------------- ----- --------- ------ -- -
----- - --------- -------- - - ------------
-- -------------
----- ---- - ----- ---------------------------------- ---------
-- ------- -
----------------------
------
-
-- -- ---
----- ----- - ------------------ ------- ------- --
------------ ----- --
--
----------------------- ----- --------- ------ -- -
----- ------ - -------------------
----- ---- - ----- ----------------------------
----------------
-----------------在 /login 接口中，我们使用 fastify.jwt.sign 方法生成 JWT，并将其返回给客户端。在 /profile 接口中，我们使用 fastify.authenicate 方法来验证 JWT，并将解析后的信息存储在 request.user 中。
使用 fastify-auth
Fastify-auth 提供的 verify 方法可以让我们方便地验证 JWT，但是这个方法只能验证 JWT 的有效性，而不能解析 JWT 的内容。因此，我们需要结合 fastify-jwt 来完成整个验证过程。
首先，我们需要在应用程序中注册 fastify-jwt、fastify-auth 插件：
const fastifyAuth = require('fastify-auth')
const fastifyJwt = require('fastify-jwt')
fastify.register(fastifyAuth)
fastify.register(fastifyJwt, {
secret: 'mysecret'
})接下来，我们需要定义一个 verifyJWT 方法来验证 JWT：
async function verifyJWT(request, reply, done) {
try {
await request.jwtVerify()
done()
} catch (err) {
reply.send(err)
}
}最后，在路由处理程序中使用 fastify.auth 方法来验证 JWT：
fastify.get('/profile', { preHandler: fastify.auth([verifyJWT]) }, async (request, reply) => {
const userId = request.user.userId
const user = await userService.findById(userId)
reply.send(user)
})在 /profile 接口中，我们使用 fastify.auth 方法来验证 JWT，并在 preHandler 中传入 verifyJWT 方法。如果 JWT 无效，则会发送错误响应。
总结
Fastify 应用中 JWT 未签名的问题是一个常见的安全风险，但是我们可以使用 fastify-jwt 和 fastify-auth 插件来解决这个问题。通过使用这些插件，我们可以轻松地生成和验证签名的 JWT，从而提高应用程序的安全性。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/64ef1d3df6b2d6eab39223ac