前言
随着 Web 应用程序复杂度的增加，用户身份验证是一个必不可少的功能。在 Node.js 的生态系统中，Hapi.js 是一个功能强大、可扩展的 Node.js Web 应用程序框架，它提供了很多有用的插件和工具来帮助开发者快速、高效地构建 Web 应用程序。其中，登录认证是一个常见的需求，然而 Hapi.js 本身并不提供这个功能。在此文章中，我们会探讨如何使用 Hapi.js 和 JSON Web Token（JWT）来实现登录认证功能。
什么是 JWT
JSON Web Token（JWT）是一种开放标准，定义了一种用于在网络上传输信息的紧凑、自我描述、安全的方式。它可以在发送方和接收方之间传递用户身份认证信息，以便在服务端作出授权决策。
一个 JWT 包含三个部分：头部（header）、载荷（payload）和签名（signature），它们用点号（.）分隔开来。JWT 的一个示例如下：
-----------------------------------------------------------------------------------------------------------------------------------------------------------
其中，头部声明了所使用的算法和 token 类型，载荷包含 JWT 的声明信息和实际使用的数据，例如用户 ID、权限等信息，签名则是使用头部中声明的算法对头部和载荷进行数字签名后生成的字符串，用于验证 token 的有效性。
Hapi.js 实现 JWT 登录认证
接下来我们来讨论如何在 Hapi.js 中实现 JWT 登录认证。
安装依赖
首先，我们需要安装一些必须的依赖：
--- ------- ---------- ---------- --------- ---------- -------------- -------- ------------
@hapi/hapi：Hapi.js 框架；@hapi/boom：HTTP 错误包装器；@hapi/joi：数据验证库；@hapi/glue：将配置和组件粘合在一起的工具；hapi-auth-jwt2：Hapi.js JWT 认证插件；mongoose：MongoDB 的 ODM；jsonwebtoken：使用 JWT 生成和验证 token。
配置服务器
首先，我们需要配置 Hapi.js 服务器。代码如下：
----- ---- - ----------------------
----- ---- - ----------------------
----- -------------- - -
----------- ---------
--
----- -------- - -
------- -
----- ----------------------- -- ----
--
--------- -
-------- -
-
------- -------------------
-------- --
-
-
-
--
------------ - ----- -- -- -
----- ------ - ----- ---------------------- ----------------
----- --------------------
------ -------
--我们在这里使用了 @hapi/glue 模块来将配置和组件粘合在一起。我们将配置放在了 manifest 中，指定了服务器的端口和插件等信息。在这个配置中，我们注册了一个叫做 ./plugins/routes 的插件，在接下来的代码中会提到。
编写认证策略
接下来，我们需要在 Hapi.js 中编写 JWT 认证策略。认证策略可以用来指定特定的用户认证标准，例如用户需要设置密码，或者已登录。我们在这里使用 JWT 为用户进行认证。代码如下：
----- ---------- - ---------------------- -- ------------
-------------- - -
----- -----------
-------- --------
--------- ----- -------- -- -
----- -------------------------------------------
--------------------------- ------ -
---- -----------
--------- ----- --------- -------- -- -
----- ---- - -----------------------
----- ---- - ----- --------------------------
-- ------- -
------ - -------- ----- --
-
------ - -------- ---- --
-
---
--------------------------
-
--首先，我们指定了一个JWT_SECRET变量，它将被用来创建和验证 token。需要注意的是，这个变量在生产环境中应该配置在环境变量中。
接下来，我们注册了 hapi-auth-jwt2 插件，并创建了一个叫做 'jwt' 的认证策略。在这个策略中，我们使用了 validate 回调函数进行用户数据验证。在这里，我们使用了 Mongoose ODM 来做验证，首先我们从 token 的有效载荷中获取用户 ID，并使用这个 ID 从 MongoDB 数据库中找到对应的用户。如果用户不存在，那么该 token 是无效的。
最后，我们设置了默认的认证策略为 'jwt'。这样，如果用户未通过认证，那么将无法访问受保护的路由。
登录路由
我们需要为应用程序添加一个路由，以便用户能够通过登录页面进行认证。在这里，我们将使用 jsonwebtoken 包生成 token 并将其保存在用户的浏览器中。代码如下：
-------------- - -
----- ---------
-------- --------
--------- ----- -------- -------- -- -
--------------
------- -------
----- ---------
-------- -
----- ------
--------- -
-------- -
------ --------------------------------
--------- ------------------------------
--
----------- ----- --------- -- ---- -- -
----- ---
-
--
-------- ----- --------- -- -- -
----- - ------ -------- - - ----------------
----- ---- - -----------------------
----- ---- - ----- -------------- ----- ---
-- ------- -
----- -------------------------- ----- -- -----------
-
----- ------- - ----- -------------------------------
-- ---------- -
----- -------------------------- ----- -- -----------
-
----- ----- - ---------- --- -------- -- ------------
------ ------------ ----- -------------
-
-
---
-
--首先，我们定义了一个路由，该路由在 'POST /login' 地址上监听请求。这个路由不需要进行身份验证，所以我们将 auth 设置为 false。该路由的 payload 将包含 email 和 password 字段，并且它们都是必填字段（由 Joi.string().email().required() 和 Joi.string().min(6).required() 规定）。如果任何一个字段无法通过验证，则将引发429TooMany Requests HTTP响应。我们在这里使用的是 Hapi.js 的默认策略。如果您需要进一步自定义验证失败时的行为，请参阅 Hapi.js 文档。
在路由的主体中，我们首先从请求的载荷中取出 email 和 password 字段，并从 MongoDB 数据库中查找具有相应 email 值的用户。如果找不到用户，那么我们使用 Boom.unauthorized 静态函数返回 401 Unauthorized HTTP 响应。
接下来，我们使用 User 模型中的 isValidPassword 方法来验证用户的密码是否匹配。如果密码不匹配，那么我们将返回 401 Unauthorized HTTP 响应。否则，我们将使用 jsonwebtoken 包生成 token 并将其返回给用户。token 应该储存在用户的浏览器中，客户端可以在每个后续请求中将其发送回服务器进行身份验证。
受保护的路由
最后，我们需要创建一些需要用户身份验证的受保护的路由。代码如下：
-------------- - -
----- ---------
-------- --------
--------- ----- -------- -------- -- -
--------------
------- ------
----- ------
-------- ----- --------- -- -- -
----- - ----------- - - -------------
----- ---- - -----------------------
----- ---- - ----- ------------------------------
-- ------- -
----- -------------------------- ---- -----
-
------ -----
-
---
-
--在这里，我们定义了一个需要进行身份验证的路由。这个路由在 'GET /me' 地址上监听请求，当用户尝试访问该路由时，Hapi.js将使用 'jwt' 认证策略进行身份验证。如果用户未通过身份验证，那么将返回 401 Unauthorized HTTP 响应。
如果用户通过了身份验证，那么我们从 request.auth.credentials 中获取用户 ID，并将其传递给 User.findById 来查找用户。如果找不到用户，那么我们将返回 401 Unauthorized HTTP 响应。否则，我们将返回用户的详细信息。
结论
本文讨论了在 Hapi.js 中实现 JWT 登录认证功能的详细步骤。首先，我们介绍了 JWT 的基础知识，以及它如何用于在网络上传输安全信息。接下来，我们介绍了如何在 Hapi.js 中实现 JWT 认证策略，以及如何编写登录路由和需要身份验证的受保护路由。通过本文的指导，我们可以为 Web 应用程序添加 JWT 身份验证功能，并保证其获得更高的安全性和可扩展性。
来源：JavaScript中文网 ，转载请联系管理员！ 本文地址：https://www.javascriptcn.com/post/671a1e779babaf620fa15ce8