身份鉴别是 Web 应用程序中的关键问题之一，因为不安全的鉴别方案可能导致恶意攻击者访问用户数据或恶意操作应用程序。JSON Web Tokens (JWTs) 是一种流行的身份鉴别方案，它使用标准的 JSON 文档来描述用户信息。本文为你讲解如何在 Fastify 框架中使用 JWTs 进行身份鉴别。
JWT 介绍及其工作原理
JSON Web Tokens 由三部分组成：头部、有效载荷和签名。头部包含着指示令牌类型及签名算法的元数据；有效载荷包含着用户信息；签名则是由头部、有效载荷及密钥生成的哈希值，用于验证身份鉴别。
主要的身份鉴别类别有三种：密码身份鉴别、令牌身份鉴别和 OAuth。其中，JWT 属于令牌身份鉴别，其工作流程如下：
- 用户向应用程序发送用户名和密码。
- 应用程序使用用户名和密码验证用户身份。
- 如果验证成功，应用程序发送一个 JWT 给用户。
- 用户将 JWT 传递给应用程序。
- 应用程序验证 JWT 的签名并检查有效载荷中的用户信息。
- 如果 JWT 是有效的，则用户可以通过身份鉴别并使用应用程序。
Fastify 实现身份鉴别
Fastify 是一个快速、低开销且高度可扩展的 Node.js Web 框架。它是构建现代 API 和微服务的最佳解决方案之一，而且它拥有强大的插件系统，可以在应用程序中使用大量组件和库。
Fastify 框架的 JWT 插件是 fastify-jwt，它是使用 JWT 的最简单和最有效的方法之一。以下是在 Fastify 中使用 JWT 进行身份鉴别的步骤：
安装 fastify-jwt 及其 Peer Dependencies
首先，我们需要安装 fastify-jwt 和其 peer dependencies：
npm install fastify-jwt fast-json-patch jsonwebtoken --save
注册插件
然后，我们需要在 Fastify 实例中注册插件：
const fastify = require('fastify')()
const jwt = require('fastify-jwt')
fastify.register(jwt, {
secret: 'supersecret'
})在上面的代码中，我们通过调用 fastify.register 方法来注册 JWT 插件，并提供了一个密钥，这个密钥将用于签名和验证 JWT。
创建路由句柄
接下来，我们可以使用 Fastify 自带的路由系统创建路由句柄，例如：
-- -------------------- ---- ------- ---------------------- ----- -------- --------- ------ - ----- - --------- -------- - - ------------ ----- ---- - ----- --------------------------------- --------- -------- ---------- -- ------- ------ ------------------------ -------- -------- ------------ -- ----- ----- - --------------- --- -------- --------- ------------- -- ------------ ----- -- --
在上面的代码中，我们创建了一个 POST /login 路由句柄，该路由需要接收用户名和密码，并验证其身份。如果身份鉴别成功，我们使用 reply.jwtSign 方法生成一个 JWT 并将其返回给用户。
鉴别请求
最后，我们可以使用 fastify-jwt 插件提供的 fastify-jwt 钩子来鉴别请求：
fastify.get('/profile', { preValidation: fastify.auth([fastify.verifyJWT]) }, function (request, reply) {
reply.send(request.user)
})在上面的代码中，我们创建了 GET /profile 路由句柄，该路由需要鉴别身份才能访问。我们使用 fastify.auth(fastify.verifyJWT) 方法来定义身份鉴别和 JWT 鉴别逻辑。如果 JWT 是有效的，fastify-jwt 插件将把解密后的有效载荷添加到 request.user 对象中，然后我们可以通过该对象访问用户信息。
结论
在本文中，我们学习了如何在 Fastify 中使用 JSON Web Tokens 进行身份鉴别。通过这种机制，我们可以保证用户信息的安全性，同时可以在不同的应用程序之间共享用户信息，提高 Web 应用程序的可用性。Fastify-jwt 插件是一个简单易用、高度可扩展的 JWT 协议的实现，它使用方便、功能强大，是一个极佳的身份鉴别解决方案。在将来的应用程序中，我们将继续使用 Fastify-jwt 插件来进行身份鉴别，并推荐其它人在其应用程序中使用此插件来进行身份鉴别。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/674be6a0d657e1f70dc3a255