使用 token 认证 RESTful API 的方法-JavaScript中文网-JavaScript教程资源分享门户

RESTful API 是现代 Web 应用程序的核心组件之一。这种 API 设计风格使得前端和后端能够通过 HTTP 通信协议来传输资源，从而实现数据交互和信息共享。然而，对于 RESTful API 的安全性问题，Token 认证是一个不错的解决方法。在本文中，我们将介绍使用 Token 认证 RESTful API 的方法，并提供一些示例代码。

什么是 Token 认证？

Token 认证是一种 Web 应用程序身份验证机制，它使用一个由服务器颁发的 Token（令牌）来验证用户的身份或授权。当用户成功登录后，服务器会颁发一个 Token，并将其存储在客户端，例如，Web 浏览器中的 cookie 或本地存储中。

在接下来的请求中，客户端需要在每个 HTTP 请求中附加这个 Token，以向服务器提供用户的身份或授权信息。通过这种方式，服务器将能够验证用户的请求是否来自一个已经认证的会话，并决定该请求是否允许访问资源。

如何使用 Token 认证 RESTful API？

下面是使用 Token 认证 RESTful API 的基本步骤：

服务器端生成一个 Token，并将其发送给客户端（例如，Web 浏览器）。
客户端将 Token 存储在 cookie 或本地存储中。
当客户端发起 HTTP 请求时，HTTP 请求头应包含此 Token。
服务器验证此 Token，并将请求转发到相应的处理程序。
处理程序向客户端返回一个 response。

在 RESTful API 中，使用 Token 认证的方法与其他 Web 应用程序相同。不过，你需要在客户端和服务器端实现以下步骤：

1. 生成 Token

服务器端需要使用一些安全的算法来生成一个 Token。在 Node.js 环境中，我们可以使用 jsonwebtoken 模块来生成和验证 JSON Web Token（JWT）。

const jwt = require('jsonwebtoken');
const secretKey = 'myTokenSecretKey';
const token = jwt.sign({ user_id: '123456' }, secretKey, { expiresIn: '1h' });

上面的代码使用 jwt.sign() 方法生成一个 JWT，并将 user_id 信息存储在 JWT 的 payload 中。第二个参数 secretKey 是我们自己定义的密钥，用于验证 JWT 的签名。第三个参数是一个选项对象，用于设置 Token 的过期时间。

2. 存储 Token

Token 通常会存储在客户端的 cookie 或本地存储中。在客户端代码中，我们可以使用 document.cookie 或 localStorage 来存储 Token。

// set token in cookie
document.cookie = `myToken=${token}; Path=/; Secure`;

// set token in localStorage
localStorage.setItem('myToken', token);

3. 发送 HTTP 请求

当客户端发起 HTTP 请求时，我们需要在 HTTP 头部参数中包含 Token。

const xhr = new XMLHttpRequest();
xhr.open('GET', '/api/users');
xhr.setRequestHeader('Authorization', `Bearer ${token}`);
xhr.send();

在这里，我们通过 xhr.setRequestHeader() 方法设置 Authorization 请求头，并将 Token 附加到 Bearer 类型的值中。

4. 验证 Token

在服务器端，我们需要验证请求的 Token 来确定是否允许访问相应的资源。验证 Token 的方法与生成 Token 的方法非常相似，我们只需使用 jwt.verify() 来验证 JWT。

// javascriptcn.com 代码示例
const secretKey = 'myTokenSecretKey';
const verifyToken = (req, res, next) => {
  const token = req.headers.authorization.split(' ')[1];
  jwt.verify(token, secretKey, (err, decoded) => {
    if (err) return res.status(401).json({ message: 'Unauthorized' });
    req.user_id = decoded.user_id;
    next();
  });
};

上面的代码是验证 Token 并将 user_id 设置为请求对象的一部分。其中，req.headers.authorization 包含请求头参数，我们将 Token 分割出来，再使用 jwt.verify() 方法来验证 Token 的有效性。如果验证失败，服务器将返回一个 401 Unauthorized 的状态码。

5. 返回响应

在验证 Token 之后，服务器将快速路由到相应的处理程序，并向客户端发送响应。

const getUsers = (req, res) => {
  const mockUsers = [{ id: '123456', name: 'Alice' }, { id: '789012', name: 'Bob' }];
  const filteredUsers = mockUsers.filter(user => user.id === req.user_id);
  res.status(200).json({ users: filteredUsers });
};

上面的代码是一个处理程序，使用 req.user_id 对数据进行过滤，然后返回响应数据。

总结

Token 认证是一种安全的身份验证机制。对于 RESTful API，使用 Token 认证可以保护你的 API 不受未授权的访问。在本文中，我们介绍了使用 Token 认证 RESTful API 的方法，并提供了一些示例代码。如果你在开发 Web 应用程序时需要使用 RESTful API，请考虑使用 Token 认证。

来源：JavaScript中文网，转载请注明来源本文地址：https://www.javascriptcn.com/post/653659057d4982a6ebe63187