koa2实现session-cookie和token的鉴权

前后端鉴权一直是web开发的常见问题，今天就用一个demo来总结下常见的session和token鉴权方式。

session鉴权

我们用代码来说明。

session-cookie鉴权关键的一点是在服务端保存session，我们这边用redis进行保存，然后给客户端发送cookie。当客户端访问服务端时，携带cookie，而这cookie就是redis保存session的key，能拿到对应的session就证明客户端有权限访问服务端的api，否在就是非法访从而拒绝，要求登录验证身份后才能发起访问。

而在koa2中实现session的存取鉴定，我们可以把该过程封装成一个中间件，然后在路由请求响应前响应就行了。

具体的可以看代码和其中的注释。

module.exports = function (opts = {}) { 
 opts.key = opts.key || "cookieKey";   
 return async function (ctx, next) {     
 let cookie = ctx.cookies.get(opts.key, opts);    
 // cookie是否存在       
 if (cookie) {          
   // 删除cookie，为了在下一步重置cookie的时间 
   ctx.cookies.set(opts.key, cookie, {maxAge: -1});         
   // 如果session存在，删除redis的session为了在下一步重置session的时间       
   ctx.session = await opts.store.get(cookie);          
   if(ctx.session) {            
       // 删除redis的值         
       opts.store.destroy(cookie);   
      }   
    } else {   
       ctx.session = undefined 
    }    
    await next();    
    // 有权限的操作或者登录   
    if (ctx.session) {        
    // 更新session时间或者存放新的session  
    let newCookie = await opts.store.set(ctx.session, Object.assign({}, opts, {sid: cookie}));       
    // 更新cookie的时间          
    ctx.cookies.set(opts.key, newCookie, opts); 
   }   
 }};复制代码

token鉴权

token的话，只要在登录的时候生成token返回客户端，然后客户端请求时携带token即可完成验证操作。在koa2中使用jsonwebtoken插件进行token的生成和验证。具体可以看下代码。

const jwt = require('jsonwebtoken');
const baseConfig = require('../config/basice.js');复制代码

module.exports.createToken = function (userName) {
    return jwt.sign(
        {userName},
        baseConfig.jwtSecretKey,
        {expiresIn: baseConfig.expiresIn}
    );
};

module.exports.checkToken = function (ctx, next) {
    let token = ctx.headers['client-token'];
    if (!token) {
        ctx.body = {
            success: false,
            error: {
                code: 401,
                message: 'token不能为空'
            }
        };
    } else {
        jwt.verify(token, baseConfig.jwtSecretKey, async function (err) {
                if (err) {
                    let message;
                    if (err.name === 'TokenExpiredError') {
                        message = 'token已过期';
                    } else {
                        message = 'token无效';
                    }
                    ctx.body = {
                        success: false,
                        error: {
                            code: 401,
                            message
                        }
                    };
                } else {
                    return await next();
                }
            }
        );
    }
};复制代码

全部代码：gitee.com/newbeehh/sc…