为令牌签名

本课属于 Coddy Node.js 学习旅程的“身份验证与安全”单元。第 15 课，共 24 课。

只有没人能伪造令牌时，令牌才有价值。使用 HS256 时，jose 会将标头和载荷与只有服务器知道的密钥混合，然后对结果进行哈希处理。这个哈希值就是签名。没有密钥，没人能生成匹配的签名。

密钥来自环境变量 process.env.JWT_SECRET，而不是代码：代码会被共享、复制和提交。这节课会为你设置 JWT_SECRET。jose 需要的是字节。

const key = new TextEncoder().encode(process.env.INVITE_SECRET);

const invite = await new SignJWT({ room: 'design' })
    .setProtectedHeader({ alg: 'HS256' })
    .setSubject(guestId)
    .setIssuedAt()
    .setExpirationTime('2d')
    .sign(key);

setSubject 接收文本，setExpirationTime 接收类似 '30m' 或 '2d' 这样的时长。

挑战

简单

调用你的 API 的应用（例如手机应用）不会像浏览器那样保存 Cookie。改为给它们一个令牌：一个经过签名的 JWT，它们会在每次请求时一并发送。POST /token 是这些应用的登录接口。

在 server.js 中，在 decodeJwt 旁边从 jose 导入 SignJWT。在路由上方，按照本课所示，用 TextEncoder 将 process.env.JWT_SECRET 转换为字节，因为 jose 使用字节进行签名。本课会为你设置 JWT_SECRET。
添加 POST /token。它接收与登录相同的请求体：{"username": "ada", "password": "correct horse"}，并像 POST /login 一样检查用户名和密码。如果用户名或密码错误，则返回状态码 401 和 {"error": "Wrong username or password"}。
如果用户名和密码正确，则对令牌进行签名，并以 {"token": "..."} 的形式返回。令牌必须：
- 使用算法 HS256，并使用 JWT_SECRET 的字节进行签名；
- 在有效载荷中包含声明 username；
- 将用户的 _id 作为文本用作主题。使用 toHexString()，因为 jose 不接受非文本形式的主题；
- 在生成一小时后过期。
本课生成的令牌看起来像这样：eyJhbGciOiJIUzI1NiJ9.eyJ1c2VybmFtZSI6ImFkYSIsInN1YiI6IjY2ZjFjMmE5ZTRiMGExYjJjM2Q0ZTVmNiIsImlhdCI6MTc5MzM2MTYwMCwiZXhwIjoxNzkzMzY1MjAwfQ.EdCrjAKSjZowcjE3-IjKttBLVK1VKKbL9DPnJDLdgug

试试看：按“运行”。发送 POST /signup，并使用请求体 {"username": "ada", "password": "correct horse"}。使用相同的请求体发送 POST /token：状态码为 200，响应为 {"token": "..."}。复制令牌，然后发送 GET /inspect?token=，并在后面附上令牌。你会看到类似这样的内容：{"username": "ada", "sub": "66f1c2a9e4b0a1b2c3d4e5f6", "iat": 1793361600, "exp": 1793365200}：exp 比 iat 晚 3600 秒。使用 {"username": "ada", "password": "wrong horse"} 发送 POST /token：状态码为 401。

亲手试试

import express from 'express';
import { decodeJwt } from 'jose';
import { users } from './db.js';
import { hashPassword, verifyPassword } from './passwords.js';

const app = express();
app.use(express.json());

app.post('/signup', async (req, res) => {
    const username = String(req.body.username ?? '').trim().toLowerCase();
    const password = String(req.body.password ?? '');
    if (!username || password.length < 8) {
        return res.status(400).json({ error: 'Pick a username and a password of at least 8 characters' });
    }
    if (await users.findOne({ username })) {
        return res.status(409).json({ error: 'That username is taken' });
    }
    await users.insertOne({ username, passwordHash: await hashPassword(password) });
    res.status(201).json({ username });
});

app.post('/login', async (req, res) => {
    const username = String(req.body.username ?? '').trim().toLowerCase();
    const user = await users.findOne({ username });
    if (!user || !(await verifyPassword(String(req.body.password ?? ''), user.passwordHash))) {
        return res.status(401).json({ error: 'Wrong username or password' });
    }
    res.json({ username: user.username });
});

// 显示令牌中的内容：GET /inspect?token=...
app.get('/inspect', (req, res) => {
    try {
        res.json(decodeJwt(String(req.query.token ?? '')));
    } catch {
        res.status(400).json({ error: 'Not a JWT' });
    }
});

// 管理员页面。验证签名之前，不能信任任何声明。
app.get('/admin', (req, res) => {
    res.status(403).json({ error: 'Admins only' });
});

app.listen(3000, () => {
    console.log('Vault is running on port 3000');
});

身份验证与安全中的所有课

自己练习： Express 在线编辑器