脚本之家 服务器常用软件
快捷导航
您的位置：首页 → 网络编程 → JavaScript → node.js → node token 身份验证

node实现基于token的身份验证

 更新时间：2018年04月09日 14:41:14   作者：Jiang Xueyang  
这篇文章主要介绍了node实现基于token的身份验证,小编觉得挺不错的，现在分享给大家，也给大家做个参考。一起跟随小编过来看看吧

最近研究了下基于token的身份验证，并将这种机制整合在个人项目中。现在很多网站的认证方式都从传统的seesion+cookie转向token校验。对比传统的校验方式，token确实有更好的扩展性与安全性。

传统的session+cookie身份验证

由于HTTP是无状态的，它并不记录用户的身份。用户将账号与密码发送给服务器后，后台通过校验，但是并没有记录状态，于是下一次用户的请求仍然需要校验身份。为了解决这一问题，需要在服务端生成一条包含用户身份的记录，也就是session，再将这条记录发送给用户并存储在用户本地，即cookie。接下来用户的请求都会带上这条cookie，若客户端的cookie与服务端的session能对应上，则说明用户身份验证通过。

token身份校验

流程大致如下：

  1. 第一次请求时，用户发送账号与密码
  2. 后台校验通过，则会生成一个有时效性的token,再将此token发送给用户
  3. 用户获得token后，将此token存储在本地，一般存储在localstorage或cookie
  4. 之后的每次请求都会将此token添加在请求头里，所有需要校验身份的接口都会被校验token，若token解析后的数据包含用户身份信息，则身份验证通过。

对比传统的校验方式，token校验有如下优势：

  1. 在基于token的认证，token通过请求头传输，而不是把认证信息存储在session或者cookie中。这意味着无状态。你可以从任意一种可以发送HTTP请求的终端向服务器发送请求。
  2. 可以避免CSRF攻击
  3. 当在应用中进行 session的读，写或者删除操作时，会有一个文件操作发生在操作系统的temp 文件夹下，至少在第一次时。假设有多台服务器并且 session 在第一台服务上创建。当你再次发送请求并且这个请求落在另一台服务器上，session 信息并不存在并且会获得一个“未认证”的响应。我知道，你可以通过一个粘性 session 解决这个问题。然而，在基于 token 的认证中，这个问题很自然就被解决了。没有粘性 session 的问题，因为在每个发送到服务器的请求中这个请求的 token 都会被拦截。

下面介绍一下利用node+jwt(jwt教程)搭建简易的token身份校验

示例

当用户第一次登录时，提交账号与密码至服务器，服务器校验通过，则生成对应的token，代码如下：

const fs = require('fs');
const path = require('path');
const jwt = require('jsonwebtoken');
//生成token的方法
function generateToken(data){
  let created = Math.floor(Date.now() / 1000);
  let cert = fs.readFileSync(path.join(__dirname, '../config/pri.pem'));//私钥
  let token = jwt.sign({
    data,
    exp: created + 3600 * 24
  }, cert, {algorithm: 'RS256'});
  return token;
}

//登录接口
router.post('/oa/login', async (ctx, next) => {
  let data = ctx.request.body；
  let {name, password} = data;
  let sql = 'SELECT uid FROM t_user WHERE name=? and password=? and is_delete=0', value = [name, md5(password)];
  await db.query(sql, value).then(res => {
    if (res && res.length > 0) {
      let val = res[0];
      let uid = val['uid'];
      let token = generateToken({uid});
      ctx.body = {
        ...Tips[0], data: {token}
      }
    } else {
      ctx.body = Tips[1006];
    }
  }).catch(e => {
    ctx.body = Tips[1002];
  });

});

用户通过校验将获取到的token存放在本地：

store.set('loginedtoken',token);//store为插件

之后客户端请求需要验证身份的接口，都会将token放在请求头里传递给服务端：

service.interceptors.request.use(config => {
  let params = config.params || {};
  let loginedtoken = store.get('loginedtoken');
  let time = Date.now();
  let {headers} = config;
  headers = {...headers,loginedtoken};
  params = {...params,_:time};
  config = {...config,params,headers};
  return config;
}, error => {
  Promise.reject(error);
})

服务端对所有需要登录的接口均拦截token并校验合法性。

function verifyToken(token){
  let cert = fs.readFileSync(path.join(__dirname, '../config/pub.pem'));//公钥
  try{
    let result = jwt.verify(token, cert, {algorithms: ['RS256']}) || {};
    let {exp = 0} = result,current = Math.floor(Date.now()/1000);
    if(current <= exp){
      res = result.data || {};
    }
  }catch(e){

  }
  return res;

}

app.use(async(ctx, next) => {
  let {url = ''} = ctx;
  if(url.indexOf('/user/') > -1){//需要校验登录态
    let header = ctx.request.header;
    let {loginedtoken} = header;
    if (loginedtoken) {
      let result = verifyToken(loginedtoken);
      let {uid} = result;
      if(uid){
        ctx.state = {uid};
        await next();
      }else{
        return ctx.body = Tips[1005];
      }
    } else {
      return ctx.body = Tips[1005];
    }
  }else{
    await next();
  }
});

本示例使用的公钥与私钥可自己生成，操作如下：

  1. 打开命令行工具，输入openssl，打开openssl;
  2. 生成私钥：genrsa -out rsa_private_key.pem 2048
  3. 生成公钥： rsa -in rsa_private_key.pem -pubout -out rsa_public_key.pem

点此查看node后台代码
点此查看前端代码

以上就是本文的全部内容，希望对大家的学习有所帮助，也希望大家多多支持脚本之家。

您可能感兴趣的文章:

相关文章

  • package.json版本号符号^和~前缀的区别

    package.json版本号符号^和~前缀的区别

    这篇文章介绍了package.json版本号符号^和~前缀的区别，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧
    2022-06-06
  • Node.js连接MongoDB数据库产生的问题

    Node.js连接MongoDB数据库产生的问题

    Node.js是使用JavaScript 编写的可以运行在服务端的JS语言。node.js和mongodb碰撞会产生一系列问题，下面通过本文给大家分享Node.js连接MongoDB数据库，需要的的朋友参考下
    2017-02-02
  • Node.js实现http请求服务与Mysql数据库操作方法详解

    Node.js实现http请求服务与Mysql数据库操作方法详解

    这篇文章主要介绍了Node.js实现http请求服务与Mysql数据库操作方法，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习吧
    2022-10-10
  • electron安装报错终极解决办法详细讲解

    electron安装报错终极解决办法详细讲解

    当使用npm安装electron时,有时候会遇到各种各样的错误,如网络错误、权限错误等等,这篇文章主要给大家介绍了关于electron安装报错终极解决办法的相关资料,需要的朋友可以参考下
    2024-09-09
  • Nodejs学习笔记之Stream模块

    Nodejs学习笔记之Stream模块

    nodejs的fs模块并没有提供一个copy的方法，但我们可以很容易的实现一个，这种方式是把文件内容全部读入内存，然后再写入文件，对于小型的文本文件，这没有多大问题，比如grunt-file-copy就是这样实现的。
    2015-01-01
  • Nodejs中JSON和YAML互相转换方式

    Nodejs中JSON和YAML互相转换方式

    这篇文章主要介绍了Nodejs中JSON和YAML互相转换方式,具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不吝赐教
    2025-03-03
  • node.js中的buffer.Buffer.isBuffer方法使用说明

    node.js中的buffer.Buffer.isBuffer方法使用说明

    这篇文章主要介绍了node.js中的buffer.Buffer.isBuffer方法使用说明,本文介绍了buffer.Buffer.isBuffer的方法说明、语法、接收参数、使用实例和实现源码,需要的朋友可以参考下
    2014-12-12
  • 浅谈node的事件机制

    浅谈node的事件机制

    本篇文章主要介绍了node的事件机制，本文通过实现一个简易的、具有发布/订阅模式的事件机制，以此来理清EventEmitter类的实现思路，有兴趣的可以了解一下
    2017-10-10
  • nodejs中函数的调用实例详解

    nodejs中函数的调用实例详解

    本文通过实例代码给大家介绍了nodejs函数的调用,代码简单易懂，非常不错，具有一定的参考借鉴价值，需要的朋友可以参考下
    2018-10-10
  • 配置Node.js环境变量详细图文教程

    配置Node.js环境变量详细图文教程

    这篇文章主要给大家介绍了关于配置Node.js环境变量详细图文教程的相关资料,在Node.js中设置环境变量非常简单,文中通过图文介绍的非常详细,需要的朋友可以参考下
    2023-11-11

最新评论