Срок действия токена
Часть раздела Аутентификация и безопасность путешествия по Node.js на Coddy. Урок 17 из 24.
Сервер не может отозвать токен: данные нигде не хранятся, поэтому украденный токен будет действовать, пока не истечёт срок его действия. Используй токены с коротким сроком действия — на минуты, а не на дни, — и позволь клиенту запрашивать новый токен.
jwtVerify уже отклоняет токен, срок действия которого, указанный в exp, истёк. exp — это момент времени, выраженный в секундах с 1 января 1970 года. При этом выбрасывается ошибка errors.JWTExpired. Выражение err instanceof errors.JWTExpired будет истинным для ошибки этого типа, поэтому ты можешь отличить токен с истёкшим сроком действия от поддельного и сообщить об этом: клиент, который прочитает сообщение Срок действия токена истёк, поймёт, что нужно войти снова.
import { errors, jwtVerify } from 'jose';
try {
await jwtVerify(inviteToken, inviteKey);
} catch (err) {
if (err instanceof errors.JWTExpired) {
return res.status(410).json({ error: 'This invite has run out' });
}
return res.status(400).json({ error: 'Not a real invite' });
}
Задание
ЛегкоСервер не может отозвать токен, поэтому украденный токен продолжает работать, пока не истечёт срок его действия. Устанавливай для токенов короткий срок действия и чётко сообщай приложению, когда срок действия его токена истёк, чтобы оно знало, что нужно снова войти в систему.
- В
server.js, вPOST /token, сделай так, чтобы срок действия токенов истекал через 15 минут после их создания, а не через один час. - В
requireUserпроверь ошибку, которую выбрасываетjwtVerify. Для просроченного токенаjoseвыбрасываетerrors.JWTExpired. Импортируйerrorsизjose. Если ошибка именно этого типа, верни статус 401 и{"error": "Token expired"}. - Для всех остальных проблем по-прежнему возвращай статус 401 и
{"error": "Log in first"}: отсутствует заголовок, токен изменён или подписан другим ключом.
Попробуй: Нажми «Играть». Отправь POST /signup, затем POST /token, в обоих случаях с {"username": "ada", "password": "correct horse"}. Отправь GET /inspect?token=, добавив после него новый токен: теперь exp на 900 секунд позже iat. Оба значения — количество секунд с 1 января 1970 года. Далее приведён токен, подписанный секретным ключом этого сервера, срок действия которого истёк 1 января 2026 года: eyJhbGciOiJIUzI1NiJ9.eyJ1c2VybmFtZSI6ImFkYSIsInN1YiI6IjY2ZjFjMmE5ZTRiMGExYjJjM2Q0ZTVmNiIsImlhdCI6MTc2NzIyNTYwMCwiZXhwIjoxNzY3MjI2NTAwfQ.PL8VCHpGNwBJ-7EawZ60veEEE-ZyosNC7xYQQpgT2uE В поле Headers задай для Authorization значение Bearer, затем пробел и этот токен, после чего отправь GET /me: статус 401 и {"error": "Token expired"}. Измени одну букву в средней части токена и отправь запрос снова: статус 401 и {"error": "Log in first"}. Для изменённого токена проверка подписи не проходит до того, как проверяется дата.
Попробуйте сами
import express from 'express';
import { SignJWT, decodeJwt, jwtVerify } from 'jose';
import { users } from './db.js';
import { hashPassword, verifyPassword } from './passwords.js';
const secret = new TextEncoder().encode(process.env.JWT_SECRET);
const app = express();
app.use(express.json());
app.post('/signup', async (req, res) => {
const username = String(req.body.username ?? '').trim().toLowerCase();
const password = String(req.body.password ?? '');
if (!username || password.length < 8) {
return res.status(400).json({ error: 'Pick a username and a password of at least 8 characters' });
}
if (await users.findOne({ username })) {
return res.status(409).json({ error: 'That username is taken' });
}
await users.insertOne({ username, passwordHash: await hashPassword(password) });
res.status(201).json({ username });
});
app.post('/login', async (req, res) => {
const username = String(req.body.username ?? '').trim().toLowerCase();
const user = await users.findOne({ username });
if (!user || !(await verifyPassword(String(req.body.password ?? ''), user.passwordHash))) {
return res.status(401).json({ error: 'Wrong username or password' });
}
res.json({ username: user.username });
});
app.post('/token', async (req, res) => {
const username = String(req.body.username ?? '').trim().toLowerCase();
const user = await users.findOne({ username });
if (!user || !(await verifyPassword(String(req.body.password ?? ''), user.passwordHash))) {
return res.status(401).json({ error: 'Wrong username or password' });
}
const token = await new SignJWT({ username: user.username })
.setProtectedHeader({ alg: 'HS256' })
.setSubject(user._id.toHexString())
.setIssuedAt()
.setExpirationTime('1h')
.sign(secret);
res.json({ token });
});
// Проверяет токен в заголовке Authorization, а если проверка не проходит, возвращает 401.
async function requireUser(req, res, next) {
const token = (req.get('authorization') ?? '').replace(/^Bearer /, '');
let payload;
try {
({ payload } = await jwtVerify(token, secret));
} catch {
return res.status(401).json({ error: 'Log in first' });
}
req.user = { id: payload.sub, username: payload.username };
next();
}
app.get('/me', requireUser, (req, res) => {
res.json(req.user);
});
// Показывает содержимое токена: GET /inspect?token=...
app.get('/inspect', (req, res) => {
try {
res.json(decodeJwt(String(req.query.token ?? '')));
} catch {
res.status(400).json({ error: 'Not a JWT' });
}
});
// Страница администратора. Ни одному утверждению нельзя доверять до проверки подписи токена.
app.get('/admin', (req, res) => {
res.status(403).json({ error: 'Admins only' });
});
app.listen(3000, () => {
console.log('Vault is running on port 3000');
});
Все уроки раздела Аутентификация и безопасность
Потренируйтесь самостоятельно: Песочница Express