Express Auth实战：从用户注册到JWT令牌验证的完整指南

在Web应用开发中，认证（Authentication）与授权（Authorization）是确保应用安全性的关键环节。Express作为Node.js的流行框架，提供了灵活而强大的中间件机制，使得实现认证与授权变得相对简单。本文将通过代码示例，深入讲解如何在Express应用中实现认证功能。

一、Express Auth概述

在Express中实现认证，通常涉及以下几个步骤：

1. 用户注册：允许用户创建账户并存储必要信息，如用户名、密码等。
2. 用户登录：验证用户提供的凭据（如用户名和密码），并生成认证令牌（如JWT）。
3. 令牌验证：在用户后续的请求中验证令牌的有效性，以确保用户身份。
4. 会话管理：跟踪用户的登录状态，并在需要时提供注销功能。

二、用户注册与登录

以下是一个简单的用户注册与登录的实现示例。

1. 设置Express应用

首先，创建一个新的Express应用并安装必要的中间件。

npm init -y
npm install express bcryptjs jsonwebtoken dotenv

然后，创建一个新的JavaScript文件（如app.js），并设置基本的Express应用。

const express = require('express');
const bcrypt = require('bcryptjs');
const jwt = require('jsonwebtoken');
const dotenv = require('dotenv');

dotenv.config();

const app = express();
app.use(express.json());

const users = []; // 简单的用户存储

// ...（后续代码将添加在这里）

const PORT = process.env.PORT || 3000;
app.listen(PORT, () => console.log(`Server running on port ${PORT}`));

2. 用户注册路由

在用户注册时，我们需要存储用户的用户名和密码（经过哈希处理）。

app.post('/register', async (req, res) => {
  const { username, password } = req.body;

  // 检查用户名是否已存在
  const userExists = users.find((user) => user.username === username);
  if (userExists) {
    return res.status(400).send('User already exists.');
  }

  // 哈希密码
  const hashedPassword = await bcrypt.hash(password, 12);

  // 存储新用户
  users.push({ username, password: hashedPassword });

  res.status(201).send('User registered successfully.');
});

3. 用户登录路由

在用户登录时，我们需要验证提供的用户名和密码，并生成JWT令牌。

app.post('/login', async (req, res) => {
  const { username, password } = req.body;

  const user = users.find((user) => user.username === username);
  if (!user) {
    return res.status(401).send('Invalid username or password.');
  }

  // 验证密码
  const isMatch = await bcrypt.compare(password, user.password);
  if (!isMatch) {
    return res.status(401).send('Invalid username or password.');
  }

  // 生成JWT令牌
  const token = jwt.sign({ id: user.username }, process.env.JWT_SECRET, {
    expiresIn: '1h',
  });

  res.json({ token });
});

三、令牌验证与会话管理

接下来，我们需要实现一个中间件来验证JWT令牌的有效性。

1. JWT验证中间件

const verifyToken = (req, res, next) => {
  const bearerHeader = req.headers['authorization'];
  if (typeof bearerHeader !== 'undefined') {
    const bearer = bearerHeader.split(' ');
    const bearerToken = bearer[1];
    req.token = bearerToken;
    jwt.verify(req.token, process.env.JWT_SECRET, (err, authData) => {
      if (err) {
        res.sendStatus(403);
      } else {
        req.user = authData;
        next();
      }
    });
  } else {
    res.sendStatus(403);
  }
};

2. 使用JWT验证中间件

现在，我们可以在需要认证的路由上使用这个中间件。

app.get('/profile', verifyToken, (req, res) => {
  res.json({ message: 'Access granted to protected resource', user: req.user });
});

四、总结

通过本文的代码示例，我们深入了解了如何在Express应用中实现用户注册、登录、JWT令牌生成与验证的完整流程。这些是实现认证功能的基础，可以根据具体需求进行扩展和定制。在实际开发中，还需要考虑更多的安全性问题，如防止SQL注入、XSS攻击等，并确保敏感信息（如密码）的安全存储与传输。