在现代的 Web 应用程序中，RESTful API 已经成为了一个非常流行的架构风格。然而，由于 RESTful API 的开放性和易于访问性，它们也往往成为攻击者攻击的目标。为了保护 RESTful API 的安全性，我们可以使用 JWT（JSON Web Token）。
什么是 JWT？
JWT 是一种开放标准，它定义了一种紧凑且自包含的方式来在不同系统之间传递信息。它是在客户端和服务器之间安全地传递声明的一种方式。一个 JWT 由三部分组成：头部、载荷和签名。
头部
头部包含了关于 JWT 的元数据，例如算法和类型。它通常由两部分组成：令牌类型和所使用的算法。例如：
{
"alg": "HS256",
"typ": "JWT"
}载荷
载荷包含了 JWT 的实际内容，也就是我们想要传递的信息。它可以包含任何我们想要的键值对。例如：
{
"sub": "1234567890",
"name": "John Doe",
"iat": 1516239022
}签名
签名是对头部和载荷进行哈希运算的结果。它用于验证 JWT 的完整性和真实性。签名的生成需要使用一个密钥，这个密钥只有服务器才知道。例如：
HMACSHA256( base64UrlEncode(header) + "." + base64UrlEncode(payload), secret)
如何使用 JWT？
我们可以使用 JWT 来保护 RESTful API 的安全。具体来说，我们可以在客户端登录后，将登录信息转换为一个 JWT，并将其存储在客户端的本地存储中。然后，在客户端向服务器发送请求时，我们可以将 JWT 放在请求头中，如下所示：
Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c
在服务器端，我们可以使用一个中间件来验证 JWT 的有效性。如果 JWT 是有效的，我们可以允许请求通过，否则我们应该返回一个错误响应。
以下是一个使用 JWT 来保护 RESTful API 的示例代码：
-- -------------------- ---- -------
-- --------
----- --- - ------------------------
----- ------- - -------------------
----- ---------- - -----------------------
----- --- - ----------
-- ----
----- ------ - --------------
-- ----
--------------- ----- ---- -- -
----------
-------- -------- -- --- ----
---
---
-- ------
---------------------- ----- ---- -- -
-- -------------------------
-- --------------- --- ---------
----- ------- - - --------- ---------- --
----- ----- - ----------------- ------- - ---------- ---- ---
---------- ----- ---
---
-- --------
------------------------- ------------ ----- ---- -- -
-- -- --- ---------------
----------
-------- ---------- ------------
---
---
-- -- --- ----
-------- ---------------- ---- ----- -
-- -- ---
----- ----- - ------------------------------------ ------
-- -------- -
------ ---------------------- -------- -------------- ---
-
-- -- --- ----
----------------- ------- ----- -------- -- -
-- ----- -
------ ---------------------- -------- -------------- ---
-
-------- - --------
-------
---
-
-- -----
---------------- -- -- -
------------------- ------- -- ---- -------
---结论
使用 JWT 来保护 RESTful API 的安全是一种非常流行的方式。它可以帮助我们验证请求的合法性并防止攻击。在实际的应用程序中，我们应该注意保护 JWT 的安全，例如使用 HTTPS 来传输它们，并将其存储在客户端的本地存储中。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/673b040139d6d08e88b1266a