验证令牌

本课属于 Coddy Node.js 学习旅程的“身份验证与安全”单元。第 16 课，共 24 课。

API 客户端会在每个请求的标头中发送令牌：Authorization: Bearer <token>。如果用 decodeJwt 读取，就会接受任何人输入的令牌。jwtVerify(token, key) 会用你的密钥重新计算签名，并在签名不匹配、令牌过期或令牌根本不是 JWT 时抛出异常。只有在它返回后，你才能信任 payload。

async function requireDevice(req, res, next) {
    const token = (req.get('authorization') ?? '').replace(/^Bearer /, '');
    try {
        const { payload } = await jwtVerify(token, deviceKey);
        req.device = payload.sub;
    } catch {
        return res.status(401).json({ error: 'Unknown device' });
    }
    next();
}

挑战

简单

现在，接受你签发的令牌。应用会在每个请求的标头中发送令牌，服务器会先检查签名，再信任其中的任何内容。

在 server.js 中，从 jose 导入 jwtVerify。
编写中间件 requireUser(req, res, next)。它会读取 Authorization 标头。该标头包含单词 Bearer、一个空格，然后是令牌。把令牌从标头中取出。
使用你签发令牌时用的同一个密钥，通过 jwtVerify 检查令牌。如果签名不匹配、令牌已过期，或者文本根本不是令牌，jwtVerify 就会抛出异常。在所有这些情况下，以及没有标头时，都返回状态码 401 和 {"error": "Log in first"}。
令牌有效时，将 req.user 设置为一个对象，其中 id 取自令牌的 sub 声明，username 取自令牌的 username 声明。然后调用 next()。
添加一个带有 requireUser 的 GET /me。它会返回 req.user：{"id": "66f1c2a9e4b0a1b2c3d4e5f6", "username": "ada"}。

试试看：按“运行”。发送 GET /me：状态码为 401，返回 {"error": "Log in first"}。发送 POST /signup，然后发送 POST /token，两次请求都使用 {"username": "ada", "password": "correct horse"}，然后复制令牌。在 Headers 字段中，添加一个名为 Authorization 的标头，值为 Bearer、一个空格和你的令牌。发送 GET /me：状态码为 200，并返回你的 id 和 "username": "ada"。现在，修改令牌中间部分（两个点之间）的一个字母，然后再次发送 GET /me：状态码为 401，因为签名不再匹配。

亲手试试

import express from 'express';
import { SignJWT, decodeJwt } from 'jose';
import { users } from './db.js';
import { hashPassword, verifyPassword } from './passwords.js';

const secret = new TextEncoder().encode(process.env.JWT_SECRET);

const app = express();
app.use(express.json());

app.post('/signup', async (req, res) => {
    const username = String(req.body.username ?? '').trim().toLowerCase();
    const password = String(req.body.password ?? '');
    if (!username || password.length < 8) {
        return res.status(400).json({ error: 'Pick a username and a password of at least 8 characters' });
    }
    if (await users.findOne({ username })) {
        return res.status(409).json({ error: 'That username is taken' });
    }
    await users.insertOne({ username, passwordHash: await hashPassword(password) });
    res.status(201).json({ username });
});

app.post('/login', async (req, res) => {
    const username = String(req.body.username ?? '').trim().toLowerCase();
    const user = await users.findOne({ username });
    if (!user || !(await verifyPassword(String(req.body.password ?? ''), user.passwordHash))) {
        return res.status(401).json({ error: 'Wrong username or password' });
    }
    res.json({ username: user.username });
});

app.post('/token', async (req, res) => {
    const username = String(req.body.username ?? '').trim().toLowerCase();
    const user = await users.findOne({ username });
    if (!user || !(await verifyPassword(String(req.body.password ?? ''), user.passwordHash))) {
        return res.status(401).json({ error: 'Wrong username or password' });
    }
    const token = await new SignJWT({ username: user.username })
        .setProtectedHeader({ alg: 'HS256' })
        .setSubject(user._id.toHexString())
        .setIssuedAt()
        .setExpirationTime('1h')
        .sign(secret);
    res.json({ token });
});

// 查看令牌中的内容：GET /inspect?token=...
app.get('/inspect', (req, res) => {
    try {
        res.json(decodeJwt(String(req.query.token ?? '')));
    } catch {
        res.status(400).json({ error: 'Not a JWT' });
    }
});

// 管理员页面。验证签名前，不能信任其中的任何声明。
app.get('/admin', (req, res) => {
    res.status(403).json({ error: 'Admins only' });
});

app.listen(3000, () => {
    console.log('Vault is running on port 3000');
});

自我测试

这节课包含一个小测验。开始学习即可作答，并记录你的进度。

身份验证与安全中的所有课

自己练习： Express 在线编辑器