Koa2 实现权限控制之 jsonwebtoken-JavaScript中文网-JavaScript教程资源分享门户

引言

在前后端分离的应用开发过程中，实现后端接口的权限控制是非常必要的，常见的标准是采用 JSON Web Token（JWT）。

JWT 是一个开放标准，由三部分组成：Header、Payload 和 Signature。其中 Header 和 Payload 部分为明文，Signature 部分是用于验证数据完整性的密文，也就是签名。

Koa2 框架是一个非常适合构建 RESTful API 的 Node.js 框架，本文将以 Koa2 框架为基础，借助 jsonwebtoken 库实现 JWT 的权限控制。

安装

首先，需要安装以下依赖：

npm install koa koa-router koa-bodyparser jsonwebtoken --save

其中，koa 是 Koa2 框架，koa-router 是 Koa2 的路由中间件，koa-bodyparser 是 Koa2 的 body 解析中间件，jsonwebtoken 则是 JWT 的实现库。

实现

在完成安装后，我们可以着手实现 JWT 的权限控制。这里简单介绍实现 JWT 的流程：

用户登录时，输入用户名和密码，服务器验证用户信息，如果验证成功，则生成 JWT。
服务器将 JWT 返回给客户端，保存在客户端的 Local Storage 中。
当客户端向服务器发送请求时，携带 JWT。
服务器验证 JWT，并根据 JWT 中携带的信息授权用户进行相应的操作。

接下来就是完整的代码实现，假设我们有一个用户管理系统，包括登录、查看用户列表和删除用户等接口。其中，查看用户列表和删除用户的接口需要验证用户权限。

1. 实现 JWT 生成和验证

// javascriptcn.com 代码示例
const jwt = require('jsonwebtoken');

const secret = 'mysecret';

// 生成 JWT
function generateToken(userId) {
  const payload = {
    userId,
  };

  const options = {
    expiresIn: '1d', // 过期时间
    algorithm: 'HS256', // 签名算法
  };

  const token = jwt.sign(payload, secret, options);

  return token;
}

// 验证 JWT
function verifyToken(token) {
  try {
    const decoded = jwt.verify(token, secret);
    return decoded;
  } catch (err) {
    throw err;
  }
}

module.exports = {
  generateToken,
  verifyToken,
};

2. 实现登录接口

// javascriptcn.com 代码示例
const Koa = require('koa');
const bodyParser = require('koa-bodyparser');
const router = require('koa-router')();
const { generateToken } = require('./jwt');

const app = new Koa();

// 注册解析 POST 参数的中间件
app.use(bodyParser());

router.post('/login', (ctx) => {
  const { username, password } = ctx.request.body;

  // 验证用户信息，这里省略验证过程

  const userId = 1; // 假设用户 id 为 1
  const token = generateToken(userId);

  ctx.body = {
    code: 0,
    message: '登录成功',
    token,
  };
});

app.use(router.routes());
app.use(router.allowedMethods());

app.listen(3000, () => {
  console.log('server listening on http://localhost:3000');
});

3. 实现中间件

// javascriptcn.com 代码示例
const { verifyToken } = require('./jwt');

// 权限验证中间件
module.exports = function authMiddleware() {
  return async (ctx, next) => {
    const authHeader = ctx.request.headers.authorization;

    if (!authHeader) {
      // 未携带 token
      ctx.body = {
        code: -1,
        message: '未登录',
      };
      return;
    }

    const token = authHeader.split(' ')[1]; // Authorization: Bearer token

    try {
      const decoded = verifyToken(token);
      ctx.state.userId = decoded.userId;
      await next();
    } catch (err) {
      // token 不合法
      console.error(err);
      ctx.body = {
        code: -2,
        message: 'token 不合法',
      };
    }
  };
};

4. 实现用户列表和删除用户接口

// javascriptcn.com 代码示例
const Koa = require('koa');
const router = require('koa-router')();
const authMiddleware = require('./auth');
const users = require('./users'); // 假设这个模块提供了获取用户列表和删除用户的方法

const app = new Koa();

router.get('/users', authMiddleware(), (ctx) => {
  const userList = users.getUserList();
  ctx.body = {
    code: 0,
    message: '查询成功',
    data: {
      userList,
    },
  };
});

router.delete('/users/:id', authMiddleware(), (ctx) => {
  const { id } = ctx.params;
  users.deleteUser(id);
  ctx.body = {
    code: 0,
    message: '删除成功',
  };
});

app.use(router.routes());
app.use(router.allowedMethods());

app.listen(3000, () => {
  console.log('server listening on http://localhost:3000');
});

总结

JWT 是一种非常常用的后端接口权限控制方案，使用 jsonwebtoken 库可以轻松地实现 JWT 的生成和验证。在实现过程中，我们需要注意：

所有需要授权的接口都需要添加权限验证中间件。
需要确定签名算法、密钥和过期时间等参数，并向客户端返回 JWT。
客户端需要将 JWT 保存在 Local Storage 中，并在发送请求时携带 JWT。
服务器需要验证 JWT 的合法性，并根据 JWT 中的信息授权用户操作。

来源：JavaScript中文网，转载请注明来源本文地址：https://www.javascriptcn.com/post/651cd62e95b1f8cacd456919