传统的Session验证

起初的验证方式是存在于服务器的，用户登录进来以后，服务器判断成功，将数据存进session里面，向用户返回一个sessionID。这样的弊端是，假如用户基数特别大，每登录一个用户，就要存储一条，对服务器的内存压力比较大。

基于Token的验证方法

基于Token的验证方法是无状态的，因此我们就不用把信息存在服务器中了。

Token可以通过请求头传输，所以他可以在任何一种http请求中被发送到服务器中。

Token的验证流程

客户端发送用户、密码到服务器。
服务器接收到信息之后和数据库进行比对，验证成功后，生成一段有时效的Token字符串，向客户端返回登陆成功信息以及Token字符串。
客服端接收到信息，将Token存储在Local Storage或者Cookies中。
客服端再向服务器发送请求时，将Token放在请求头中。
服务器先解析请求头中的Token,如果解析成功，那么就进入业务逻辑中，如果不成功返回错误信息。

nodeJS(express) + jwt(jsonwebtoken)

首先安装 jsonwebtoken
npm install jsonwebtoken -S

然后在服务器中创建一个js文件，可以自行命名，我在这里命名为jwt.js

// 引入模块依赖
const fs = require('fs');
const path = require('path');
const jwt = require('jsonwebtoken');
// 创建 token 类
class Jwt {
    constructor(data, key, minute) {
        this.data = data;
        this.keyword = key;
        this.minute = minute || 30
    }
    //生成token
    generateToken() {
        let data = this.data;
        let minute = this.minute
        let keyword = this.keyword
        let created = Math.floor(Date.now() / 1000);
        let exp = created + 60 * minute;
        let cert = fs.readFileSync(path.join(__dirname, '../pem/rsa_private_key.pem')); //私钥 可以自己生成        
        let token = jwt.sign({
            data: {
                'id': data,
                "key": keyword
            },
            exp
        }, cert, {
            algorithm: 'RS256'
        });
        return token;
    }

    // 校验token
    verifyToken() {
        let token = this.data
        let cert = fs.readFileSync(path.join(__dirname, '../pem/rsa_public_key.pem')); //公钥 可以自己生成
        let res;
        try {
            let result = jwt.verify(token, cert, {
                algorithms: ['RS256']
            }) || {};
            let {
                exp = 0
            } = result, current = Math.floor(Date.now() / 1000);
            if (current <= exp) {
                res = result.data || {};
            }
            return res;
        } catch (e) {
            res = 'err';
        }
    }
}

module.exports = Jwt;

解析

generateToken

jwt.sign(payload, secretOrPrivateKey, [options, callback]);

payload ==> 代指要存进的内容
secretOrPrivateKey ==> 秘钥，我这里使用的是生成的私钥加密，也可以使用不规则字符。
[options, callback] ==> 参数，包括支持的算法等等

verifyToken

jwt.verify(token, secretOrPublicKey, [options, callback]);

token ==> sign生成的Token
secretOrPublicKey ==> 使用生成的公钥解密。
[options, callback] ==> 使用相同的解密方式

具体参数

可以查看jsonwebtoken在npm上的详细解释

支持的算法

前端的实际操作方法

怎么存储

因为我比较喜欢使用Cookie来存储的，所以以Cookie为主。

封装方法

首先使用一个npm包，js-cookie。

npm install js-cookie -S

在合适的文件夹中创建一个js文件。一般推荐在utils文件夹下

import Cookies from 'js-cookie'

const TokenName = 'XXXXXXXX'

export function getToken() {
  return Cookies.get(TokenName)
}

export function setToken(token) {
  return Cookies.set(TokenName, token, {
    expires: 1,
    path: '/'
  })
}

export function removeToken() {
  return Cookies.remove(TokenName)
}

请求封装

以VUE来说，按照我之前关于Axios的文章，封装请求即可。

VUE.JS请求工具Axios的封装

完结撒花