Node.js 使用 express-jwt 解析 JWT

Node.js 上 Token 鉴权常用的是 passport，它可以自定义校验策略，但如果你是用 express 框架，又只是解析 JWT 这种简单需求，可以尝试下 express-jwt 这个中间件。

关于 JWT

JWT 全称 JSON Web Token，是代替传统 session 认证的解决方案。其原理是服务端生成一个包含用户唯一标识的 JSON 对象，颁发给客户端。客户端请求需要权限的接口时，只要把这个 JSON 再原样发回给服务端，服务器通过解析就可识别用户。

它通常是这个样子：

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

这个 JSON 对象通过 . 分成三段，包含了请求头（加密算法）、负载信息（如 userId、过期时间），还有通过服务端密钥生成的签名来保证不被篡改。

这种机制使服务端不再需要存储 Token，因此是非常轻量的用户认证方案。并且对于微服务这种需要不同服务间共用 Token 的跨域认证，JWT 是目前的首选。

关于 express-jwt

express-jwt 是 Node.js 的一个开源库，由 ID 认证服务提供商 auth0 开发，是专用于 express 框架下解析 JWT 的中间件。

它使用非常简单，而且会自动把 JWT 的 payload 部分赋值于 req.user，方便逻辑部分调用。

开始使用

安装

npm install express-jwt

加入中间件

const expressJwt = require('express-jwt')

app.use(expressJwt({
   
  secret: 'secret12345'  // 签名的密钥 或 PublicKey
}).unless({
   
  path: ['/login', '/signup']  // 指定路径不经过 Token 解析
}))

生成 Token

生成 Token 的方式依然使用 jsonwebtoken，比如将下列代码加入到登录接口的返回部分：

const jwt = require('jsonwebtoken')

app.post('/login', function (req, res