随着互联网的发展，越来越多的网站和应用程序需要用户进行身份验证和授权。在 Node.js 中，有很多身份验证和授权的模块可供选择，其中最受欢迎的是 Passport。
Passport 是一个 Node.js 的身份验证中间件，它可以用于处理各种身份验证策略，如本地用户名和密码、OAuth、OpenID 等。使用 Passport 可以方便地实现用户身份验证和授权，并且可以与 Express、Koa、Sails 等框架无缝集成。
本文将介绍如何在 Node.js 中使用 Passport 实现用户身份验证和授权，包括以下内容：
- 安装和配置 Passport
- 使用本地用户名和密码进行身份验证
- 使用 OAuth 进行身份验证
- 使用 OpenID 进行身份验证
- 使用 Passport 实现用户授权
- 总结和建议
1. 安装和配置 Passport
要使用 Passport，首先需要安装它。在 Node.js 中，可以使用 npm 命令来安装 Passport：
npm install passport
Passport 的核心是策略（Strategy），它定义了如何进行身份验证和授权。Passport 提供了很多常见的策略，如本地用户名和密码、OAuth、OpenID 等。在使用 Passport 之前，需要选择和配置相应的策略。
例如，要使用本地用户名和密码进行身份验证，可以使用 passport-local 策略。可以使用 npm 命令来安装 passport-local：
npm install passport-local
安装完毕后，需要在 Node.js 中引入 Passport 和相应的策略：
const passport = require('passport');
const LocalStrategy = require('passport-local').Strategy;2. 使用本地用户名和密码进行身份验证
使用本地用户名和密码进行身份验证是最简单的身份验证方式。在 Node.js 中，可以使用 passport-local 策略来实现。
首先，需要定义一个本地用户名和密码的验证函数。这个函数接收用户名和密码作为参数，然后通过查询数据库或其他存储方式来验证用户名和密码的正确性。如果验证成功，需要调用 done 函数并传递用户对象作为参数。例如：
// javascriptcn.com 代码示例
function localVerify(username, password, done) {
// 查询数据库或其他存储方式验证用户名和密码的正确性
if (username === 'admin' && password === 'password') {
// 验证成功，返回用户对象
const user = { id: 1, username: 'admin' };
done(null, user);
} else {
// 验证失败，返回错误信息
done(null, false, { message: '用户名或密码错误' });
}
}然后，需要使用 passport.use 方法来配置本地用户名和密码的策略。例如：
passport.use(new LocalStrategy(localVerify));
最后，需要在路由中使用 passport.authenticate 方法来进行身份验证。例如：
app.post('/login', passport.authenticate('local'), (req, res) => {
res.send('登录成功');
});在这个例子中，当用户提交登录表单时，会通过 POST 请求发送用户名和密码。服务器接收到请求后，使用 passport.authenticate 方法来进行身份验证。如果身份验证成功，会自动将用户对象存储在 req.user 中，并跳转到下一个路由处理程序。如果身份验证失败，会返回错误信息。
3. 使用 OAuth 进行身份验证
OAuth 是一种流行的身份验证协议，它允许用户使用第三方服务提供商（如 Google、Facebook、微信等）的账户来登录网站或应用程序。在 Node.js 中，可以使用 passport-oauth 策略来实现 OAuth 身份验证。
首先，需要在第三方服务提供商的开发者平台上注册应用程序并获取应用程序的 ID 和密钥。然后，需要在 Node.js 中配置 OAuth 策略。例如，要使用 Google 账户进行身份验证，可以使用 passport-google-oauth20 策略。可以使用 npm 命令来安装 passport-google-oauth20：
npm install passport-google-oauth20
安装完毕后，需要在 Node.js 中引入 passport-google-oauth20：
const GoogleStrategy = require('passport-google-oauth20').Strategy;然后，需要使用 passport.use 方法来配置 Google 账户的策略。例如：
passport.use(new GoogleStrategy({
clientID: 'your-client-id',
clientSecret: 'your-client-secret',
callbackURL: '/auth/google/callback'
}, (accessToken, refreshToken, profile, done) => {
// 处理身份验证成功后的逻辑
}));在这个例子中，clientID 和 clientSecret 是从 Google 开发者平台上获取的应用程序 ID 和密钥。callbackURL 是在 Google 开发者平台上设置的回调 URL，用于接收身份验证结果。
最后，需要在路由中使用 passport.authenticate 方法来进行身份验证。例如：
app.get('/auth/google', passport.authenticate('google', {
scope: ['profile', 'email']
}));
app.get('/auth/google/callback', passport.authenticate('google'), (req, res) => {
res.send('登录成功');
});在这个例子中，当用户点击使用 Google 账户登录时，会跳转到 Google 账户登录页面。用户输入用户名和密码后，会授权应用程序访问其 Google 账户信息。然后，Google 会将身份验证结果发送到应用程序的回调 URL 上。在回调 URL 上，使用 passport.authenticate 方法来进行身份验证。如果身份验证成功，会自动将用户对象存储在 req.user 中，并跳转到下一个路由处理程序。
4. 使用 OpenID 进行身份验证
OpenID 是另一种流行的身份验证协议，它与 OAuth 类似，但是更加开放和灵活。在 Node.js 中，可以使用 passport-openid 策略来实现 OpenID 身份验证。
首先，需要在第三方服务提供商的开发者平台上注册应用程序并获取应用程序的 ID 和密钥。然后，需要在 Node.js 中配置 OpenID 策略。例如，要使用 Steam 账户进行身份验证，可以使用 passport-steam 策略。可以使用 npm 命令来安装 passport-steam：
npm install passport-steam
安装完毕后，需要在 Node.js 中引入 passport-steam：
const SteamStrategy = require('passport-steam').Strategy;然后，需要使用 passport.use 方法来配置 Steam 账户的策略。例如：
passport.use(new SteamStrategy({
returnURL: 'http://localhost:3000/auth/steam/return',
realm: 'http://localhost:3000/',
apiKey: 'your-api-key'
}, (identifier, profile, done) => {
// 处理身份验证成功后的逻辑
}));在这个例子中，returnURL 是用于接收身份验证结果的 URL，realm 是应用程序的域名，apiKey 是从 Steam 开发者平台上获取的 API 密钥。
最后，需要在路由中使用 passport.authenticate 方法来进行身份验证。例如：
app.get('/auth/steam', passport.authenticate('steam'));
app.get('/auth/steam/return', passport.authenticate('steam'), (req, res) => {
res.send('登录成功');
});在这个例子中，当用户点击使用 Steam 账户登录时，会跳转到 Steam 账户登录页面。用户输入用户名和密码后，会授权应用程序访问其 Steam 账户信息。然后，Steam 会将身份验证结果发送到应用程序的 returnURL 上。在 returnURL 上，使用 passport.authenticate 方法来进行身份验证。如果身份验证成功，会自动将用户对象存储在 req.user 中，并跳转到下一个路由处理程序。
5. 使用 Passport 实现用户授权
除了身份验证之外，Passport 还可以用于实现用户授权。用户授权是指在用户登录后，授权用户访问受保护的资源或执行受限的操作。在 Node.js 中，可以使用 passport-jwt 策略来实现用户授权。
JWT 是一种轻量级的身份验证和授权协议，它使用 JSON Web Token（JWT）来传输和存储用户信息。在 Node.js 中，可以使用 jsonwebtoken 模块来生成和验证 JWT。可以使用 npm 命令来安装 jsonwebtoken：
npm install jsonwebtoken
安装完毕后，需要在 Node.js 中引入 jsonwebtoken：
const jwt = require('jsonwebtoken');然后，需要定义一个生成 JWT 的函数。例如：
function generateToken(user) {
const payload = { id: user.id, username: user.username };
const secret = 'your-secret-key';
const options = { expiresIn: '1h' };
return jwt.sign(payload, secret, options);
}在这个例子中，payload 是要存储在 JWT 中的用户信息，secret 是用于签名 JWT 的密钥，options 是 JWT 的选项，如过期时间等。
然后，需要使用 passport-jwt 策略来实现用户授权。例如：
// javascriptcn.com 代码示例
const JwtStrategy = require('passport-jwt').Strategy;
const ExtractJwt = require('passport-jwt').ExtractJwt;
passport.use(new JwtStrategy({
jwtFromRequest: ExtractJwt.fromAuthHeaderAsBearerToken(),
secretOrKey: 'your-secret-key'
}, (payload, done) => {
// 处理用户授权的逻辑
}));在这个例子中，jwtFromRequest 是用于提取 JWT 的方法，这里使用了从 Authorization 头部中提取 JWT 的方法。secretOrKey 是用于验证 JWT 的密钥。
最后，需要在路由中使用 passport.authenticate 方法来进行用户授权。例如：
app.get('/protected', passport.authenticate('jwt', { session: false }), (req, res) => {
res.send('受保护的资源');
});在这个例子中，当用户访问受保护的资源时，会使用 passport.authenticate 方法来进行用户授权。如果用户已登录并且具有访问受保护资源的权限，会自动跳转到下一个路由处理程序。如果用户未登录或没有访问受保护资源的权限，会返回错误信息。
6. 总结和建议
Passport 是一个强大的身份验证和授权中间件，它可以用于处理各种身份验证策略，如本地用户名和密码、OAuth、OpenID 等。使用 Passport 可以方便地实现用户身份验证和授权，并且可以与 Express、Koa、Sails 等框架无缝集成。
在使用 Passport 时，需要根据实际情况选择和配置相应的策略。在配置策略时，需要注意安全性和可维护性。在进行身份验证和授权时，需要注意错误处理和日志记录，以便及时发现和修复问题。
建议在实际项目中使用 Passport，可以节省开发时间和提高代码质量。同时，也建议学习和了解其他身份验证和授权的模块和协议，以便更好地满足不同的需求和场景。
来源：JavaScript中文网 ，转载请注明来源 本文地址：https://www.javascriptcn.com/post/656d39f4d2f5e1655d589645