什么是jwt
这个文章已经解释得很清楚了传送门
jwt和session的区别
session：一般用于服务端存储信息，其生命周期会随服务器重启而终止，或者由代码清除。
常常用于web应用登录状态的保存，但是在ios/android应用中，网络请求不包含session信息，因此服务端session无法使用，这是就产生了token。
token：作为用户状态的凭证。用户登录成功后，服务端生成一条token信息，该token可以包含用户id，过期时间等信息，经过加密算法返回给客户端，客户端访问时将该token带上，服务端做权限校验。
废话少说，直接上代码
auth.service.js核心代码，用于生成token和验证token：
1、安装express-jwt github地址
2、定义产生token方法，role为附加信息，用来做角色权限控制
config.secrets.session为密钥，一个字符串。
module.exports.signToken = (id, role) => {
return jwt.sign({_id: id, role}, config.secrets.session, {
expiresIn: 60 * 60 * 5 // 过期时间 表示5小时过期
})
}
3、定义验证token方法isAuthenticated，以下是截取部分关键代码。
// 从请求头获取token
var token = req.headers.authorization.split('Bearer ')[1]
// 查找数据库是否有该token
UserController.findByToken(token).then((user) => {
if (user) {
//验证token是否过期
validateJwt(req, res, next);
}else{
return res.status(401).end();
}
})
开发登录和权限验证功能：
1、定义登录方法
module.exports.login = (req, res) => {
var loginId = req.body.loginId
var password = req.body.password
let token
// 数据库查找用户
return User.findOne({ loginId: loginId }).exec()
.then(user => {
// 验证密码是否正确
if (user && user.authenticate(password)) {
// 产生token
token = jwt.sign({ _id: user._id }, config.secrets.session, {
expiresIn: 60 * 60 * 5
})
user.token = token
var updateUser = JSON.parse(JSON.stringify(user))
delete updateUser._id
User.findOneAndUpdate({ _id: user._id }, updateUser).exec()
// 返回给客户端
res.status(200).json({ token }).end()
} else {
return res.status(401).end()
}
})
}
2、验证用户身份，参考auth.service.js isAuthenticated方法
问题来了
如何刷新token?
express-jwt这个库没有提供刷新token过期时间的方法，因此我们需要后端重新创建token，让客户端更新token。为了保证安全性，我们不能因token失效就刷新，那这样token就有可能被黑客嗅探利用。
因此，解决方案应该是当token过期时间小于一小时，后端返回新的token，token放在返回头，当前端发现返回头带有token信息，即更新token。
当token已经过期，就返回401，提示用户重新登录。
项目源码 github地址
项目演示
项目演示
