Token验证流程、代码示例、优缺点和安全策略，一文告诉你。

news2024/11/17 13:23:09

Token和Session都是用于身份验证和授权的机制，而且Token渐渐成为主流，有不少小伙伴对token的认识不全，这里给大家分享下。

一、什么是Token

Token是一种用于身份验证和授权的令牌，通常用于在客户端和服务器之间进行安全的通信。在Web开发中，Token通常指的是JSON Web Token（JWT），它是一种开放标准（RFC 7519），定义了一种紧凑且独立的方式，用于在各方之间作为JSON对象安全地传输信息。

JWT通常由三部分组成，通过句点（.）分隔开来：

1. Header：包含了Token的类型和使用的加密算法等信息。

2. Payload：包含了要传输的信息，例如用户的身份信息、权限等。

3. Signature：使用密钥对Header和Payload进行签名，确保Token在传输过程中没有被篡改。

由于Token包含了用户的身份信息和权限，因此在客户端和服务器之间传输时需要注意安全性，例如使用HTTPS协议进行传输，并且在服务器端对Token进行严格的验证和解密。

二、Token验证流程

Token登录流程通常包括以下步骤：

用户使用用户名和密码进行登录，系统验证用户身份成功后，生成一个Token并返回给客户端。
客户端将Token保存在本地，通常是存储在Cookie或LocalStorage中。
客户端在每次请求时，将Token作为请求头部或请求参数发送给服务器。
服务器接收到请求后，验证Token的有效性，如果验证通过，则返回请求结果，否则返回错误信息。
如果Token过期或被篡改，服务器将拒绝请求并要求客户端重新登录。

下面是一个示例代码，演示了Token登录流程的基本实现：

// 客户端登录
function login(username, password) {
  // 发送登录请求
  axios.post('/api/login', { username, password })
    .then(response => {
      // 保存Token到本地
      localStorage.setItem('token', response.data.token);
      // 登录成功后跳转到首页
      window.location.href = '/home';
    })
    .catch(error => {
      console.error(error);
    });
}

// 客户端请求
function request(url, method, data) {
  // 获取Token
  const token = localStorage.getItem('token');
  // 设置请求头部
  const headers = { Authorization: `Bearer ${token}` };
  // 发送请求
  axios({ url, method, data, headers })
    .then(response => {
      console.log(response.data);
    })
    .catch(error => {
      console.error(error);
    });
}

// 服务器端验证Token
function authenticateToken(req, res, next) {
  // 获取请求头部中的Token
  const authHeader = req.headers['authorization'];
  const token = authHeader && authHeader.split(' ')[1];
  // 验证Token的有效性
  if (token == null) return res.sendStatus(401);
  jwt.verify(token, process.env.ACCESS_TOKEN_SECRET, (err, user) => {
    if (err) return res.sendStatus(403);
    req.user = user;
    next();
  });
}

在这个示例中，login 函数用于客户端登录，发送用户名和密码到服务器进行验证，如果验证通过，则将服务器返回的Token保存在本地。request 函数用于客户端请求，每次请求时从本地获取Token，并将Token作为请求头部发送到服务器。authenticateToken 函数用于服务器端验证Token的有效性，如果验证通过，则允许请求继续执行，否则返回错误信息。