node如何實(shí)現(xiàn)基于token的身份驗(yàn)證-創(chuàng)新互聯(lián)
小編給大家分享一下node如何實(shí)現(xiàn)基于token的身份驗(yàn)證，相信大部分人都還不怎么了解，因此分享這篇文章給大家參考一下，希望大家閱讀完這篇文章后大有收獲，下面讓我們一起去了解一下吧！
最近研究了下基于token的身份驗(yàn)證，并將這種機(jī)制整合在個(gè)人項(xiàng)目中。現(xiàn)在很多網(wǎng)站的認(rèn)證方式都從傳統(tǒng)的seesion+cookie轉(zhuǎn)向token校驗(yàn)。對(duì)比傳統(tǒng)的校驗(yàn)方式，token確實(shí)有更好的擴(kuò)展性與安全性。
傳統(tǒng)的session+cookie身份驗(yàn)證
由于HTTP是無狀態(tài)的，它并不記錄用戶的身份。用戶將賬號(hào)與密碼發(fā)送給服務(wù)器后，后臺(tái)通過校驗(yàn)，但是并沒有記錄狀態(tài)，于是下一次用戶的請(qǐng)求仍然需要校驗(yàn)身份。為了解決這一問題，需要在服務(wù)端生成一條包含用戶身份的記錄，也就是session，再將這條記錄發(fā)送給用戶并存儲(chǔ)在用戶本地，即cookie。接下來用戶的請(qǐng)求都會(huì)帶上這條cookie，若客戶端的cookie與服務(wù)端的session能對(duì)應(yīng)上，則說明用戶身份驗(yàn)證通過。
token身份校驗(yàn)
流程大致如下：
第一次請(qǐng)求時(shí)，用戶發(fā)送賬號(hào)與密碼
后臺(tái)校驗(yàn)通過，則會(huì)生成一個(gè)有時(shí)效性的token,再將此token發(fā)送給用戶
用戶獲得token后，將此token存儲(chǔ)在本地，一般存儲(chǔ)在localstorage或cookie
之后的每次請(qǐng)求都會(huì)將此token添加在請(qǐng)求頭里，所有需要校驗(yàn)身份的接口都會(huì)被校驗(yàn)token，若token解析后的數(shù)據(jù)包含用戶身份信息，則身份驗(yàn)證通過。
對(duì)比傳統(tǒng)的校驗(yàn)方式，token校驗(yàn)有如下優(yōu)勢(shì)：
在基于token的認(rèn)證，token通過請(qǐng)求頭傳輸，而不是把認(rèn)證信息存儲(chǔ)在session或者cookie中。這意味著無狀態(tài)。你可以從任意一種可以發(fā)送HTTP請(qǐng)求的終端向服務(wù)器發(fā)送請(qǐng)求。
可以避免CSRF攻擊
當(dāng)在應(yīng)用中進(jìn)行 session的讀，寫或者刪除操作時(shí)，會(huì)有一個(gè)文件操作發(fā)生在操作系統(tǒng)的temp 文件夾下，至少在第一次時(shí)。假設(shè)有多臺(tái)服務(wù)器并且 session 在第一臺(tái)服務(wù)上創(chuàng)建。當(dāng)你再次發(fā)送請(qǐng)求并且這個(gè)請(qǐng)求落在另一臺(tái)服務(wù)器上，session 信息并不存在并且會(huì)獲得一個(gè)“未認(rèn)證”的響應(yīng)。我知道，你可以通過一個(gè)粘性 session 解決這個(gè)問題。然而，在基于 token 的認(rèn)證中，這個(gè)問題很自然就被解決了。沒有粘性 session 的問題，因?yàn)樵诿總€(gè)發(fā)送到服務(wù)器的請(qǐng)求中這個(gè)請(qǐng)求的 token 都會(huì)被攔截。
下面介紹一下利用node+jwt(jwt教程)搭建簡(jiǎn)易的token身份校驗(yàn)
示例
當(dāng)用戶第一次登錄時(shí)，提交賬號(hào)與密碼至服務(wù)器，服務(wù)器校驗(yàn)通過，則生成對(duì)應(yīng)的token，代碼如下：
const fs = require('fs');
const path = require('path');
const jwt = require('jsonwebtoken');
//生成token的方法
function generateToken(data){
let created = Math.floor(Date.now() / 1000);
let cert = fs.readFileSync(path.join(__dirname, '../config/pri.pem'));//私鑰
let token = jwt.sign({
data,
exp: created + 3600 * 24
}, cert, {algorithm: 'RS256'});
return token;
}
//登錄接口
router.post('/oa/login', async (ctx, next) => {
let data = ctx.request.body；
let {name, password} = data;
let sql = 'SELECT uid FROM t_user WHERE name=? and password=? and is_delete=0', value = [name, md5(password)];
await db.query(sql, value).then(res => {
if (res && res.length > 0) {
let val = res[0];
let uid = val['uid'];
let token = generateToken({uid});
ctx.body = {
...Tips[0], data: {token}
}
} else {
ctx.body = Tips[1006];
}
}).catch(e => {
ctx.body = Tips[1002];
});
});用戶通過校驗(yàn)將獲取到的token存放在本地：
store.set('loginedtoken',token);//store為插件之后客戶端請(qǐng)求需要驗(yàn)證身份的接口，都會(huì)將token放在請(qǐng)求頭里傳遞給服務(wù)端：
service.interceptors.request.use(config => {
let params = config.params || {};
let loginedtoken = store.get('loginedtoken');
let time = Date.now();
let {headers} = config;
headers = {...headers,loginedtoken};
params = {...params,_:time};
config = {...config,params,headers};
return config;
}, error => {
Promise.reject(error);
})服務(wù)端對(duì)所有需要登錄的接口均攔截token并校驗(yàn)合法性。
function verifyToken(token){
let cert = fs.readFileSync(path.join(__dirname, '../config/pub.pem'));//公鑰
try{
let result = jwt.verify(token, cert, {algorithms: ['RS256']}) || {};
let {exp = 0} = result,current = Math.floor(Date.now()/1000);
if(current <= exp){
res = result.data || {};
}
}catch(e){
}
return res;
}
app.use(async(ctx, next) => {
let {url = ''} = ctx;
if(url.indexOf('/user/') > -1){//需要校驗(yàn)登錄態(tài)
let header = ctx.request.header;
let {loginedtoken} = header;
if (loginedtoken) {
let result = verifyToken(loginedtoken);
let {uid} = result;
if(uid){
ctx.state = {uid};
await next();
}else{
return ctx.body = Tips[1005];
}
} else {
return ctx.body = Tips[1005];
}
}else{
await next();
}
});本示例使用的公鑰與私鑰可自己生成，操作如下：
打開命令行工具，輸入openssl，打開openssl;
生成私鑰：genrsa -out rsa_private_key.pem 2048
生成公鑰： rsa -in rsa_private_key.pem -pubout -out rsa_public_key.pem
以上是“node如何實(shí)現(xiàn)基于token的身份驗(yàn)證”這篇文章的所有內(nèi)容，感謝各位的閱讀！相信大家都有了一定的了解，希望分享的內(nèi)容對(duì)大家有所幫助，如果還想學(xué)習(xí)更多知識(shí)，歡迎關(guān)注創(chuàng)新互聯(lián)成都網(wǎng)站設(shè)計(jì)公司行業(yè)資訊頻道！
另外有需要云服務(wù)器可以了解下創(chuàng)新互聯(lián)scvps.cn，海內(nèi)外云服務(wù)器15元起步，三天無理由+7*72小時(shí)售后在線，公司持有idc許可證，提供“云服務(wù)器、裸金屬服務(wù)器、高防服務(wù)器、香港服務(wù)器、美國(guó)服務(wù)器、虛擬主機(jī)、免備案服務(wù)器”等云主機(jī)租用服務(wù)以及企業(yè)上云的綜合解決方案，具有“安全穩(wěn)定、簡(jiǎn)單易用、服務(wù)可用性高、性價(jià)比高”等特點(diǎn)與優(yōu)勢(shì)，專為企業(yè)上云打造定制，能夠滿足用戶豐富、多元化的應(yīng)用場(chǎng)景需求。
網(wǎng)頁名稱：node如何實(shí)現(xiàn)基于token的身份驗(yàn)證-創(chuàng)新互聯(lián)
網(wǎng)址分享：http://www.jiaotiyi.com/article/higdo.html