Express Token 认证详解

Timmy2026-08-232026-08-23

Express 是 Node.js 中非常流行的 Web 框架，提供了灵活且强大的工具来创建 Web 应用。在许多应用场景下，安全性是一个至关重要的考量，尤其是在用户认证中。生成和使用 Token 是一种常见的用户认证手段，能够有效地保证通信安全。本文将详细介绍如何在 Express 中生成 Token，并结合常用库（如 jsonwebtoken）的用法，帮助你构建安全的应用。

Token 认证的基本概念

什么是 Token？

Token 是一种用于身份验证的凭证。与传统的基于会话的认证机制不同，Token 是一种无状态的认证方式，通常由服务器生成并发送给客户端。在后续的请求中，客户端会将该 Token 发送回服务器，服务器通过验证 Token 的有效性来确认用户身份。

为什么选择 Token 认证？

无状态性 ：与基于会话的认证不同，Token 是无状态的，不需要在服务器端保存用户状态信息，大大简化了服务器的处理。
灵活性 ：Token 可以用于跨域认证，特别是在 API 设计中，Token 是 RESTful 接口中非常常见的认证方式。
安全性 ：通过加密和签名技术，Token 的内容是安全的，且具有时效性，减少了 Token 被盗用的风险。

常用的 Token 类型

JWT（JSON Web Token）

JWT 是一种非常流行的 Token 格式，它使用 JSON 作为载荷（payload），通过签名（signature）保证数据的完整性。JWT 由三部分组成：Header、Payload 和 Signature。

Header ：描述 Token 的元数据，比如使用的签名算法（如 HMAC、SHA256 等）。
Payload ：包含用户信息和自定义声明（claims），如用户 ID、角色等。
Signature ：将 Header 和 Payload 通过指定的签名算法加密生成的签名，用来验证 Token 的完整性。

Bearer Token

Bearer Token 是一种基于 HTTP 的认证方式，客户端在请求中通过 Authorization 头部携带 Token，服务器解析该 Token 并确认其有效性。这种方式通常配合 JWT 使用。

在 Express 中生成 Token 的基本步骤

安装 `jsonwebtoken` 库

首先，我们需要使用 jsonwebtoken 库来生成和验证 Token。可以通过 npm 安装该库：

1	npm install jsonwebtoken

生成 Token 的代码示例

在 Express 中，我们可以通过以下代码生成一个 JWT：

const express = require('express');
const jwt = require('jsonwebtoken');
const app = express();

// 秘钥，用于签名 Token
const SECRET_KEY = 'your-secret-key';

// 模拟登录接口，生成 Token
app.post('/login', (req, res) => {
  // 模拟从数据库获取用户信息
  const user = { id: 1, username: 'user1', role: 'admin' };

  // 生成 Token，设置过期时间为 1 小时
  const token = jwt.sign({ id: user.id, role: user.role }, SECRET_KEY, { expiresIn: '1h' });

  // 将 Token 返回给客户端
  res.json({ token });
});

// 监听端口
app.listen(3000, () => {
  console.log('Server is running on port 3000');
});

在上面的代码中，我们创建了一个 /login 接口，当用户请求该接口时，服务器会生成一个 JWT 并返回给客户端。jwt.sign 方法用于生成 Token，SECRET_KEY 是签名时使用的密钥，expiresIn 参数用于设置 Token 的有效期。

验证 Token 的代码示例

在用户后续请求中，客户端需要将 Token 发送给服务器，服务器则需要验证该 Token 的有效性。可以通过以下代码实现：

// 验证 Token 的中间件
function authenticateToken(req, res, next) {
  const authHeader = req.headers['authorization'];
  const token = authHeader && authHeader.split(' ')[1];

  if (!token) {
    return res.sendStatus(401); // 如果没有 Token，则返回 401 未授权
  }

  // 验证 Token
  jwt.verify(token, SECRET_KEY, (err, user) => {
    if (err) {
      return res.sendStatus(403); // 如果 Token 无效，则返回 403 禁止访问
    }

    // 将解密后的用户信息保存到请求对象中
    req.user = user;
    next();
  });
}

// 受保护的路由，只有有效 Token 才能访问
app.get('/protected', authenticateToken, (req, res) => {
  res.json({ message: 'This is a protected route', user: req.user });
});

在上面的代码中，我们定义了一个 authenticateToken 中间件，它会从请求头中解析 Token，并使用 jwt.verify 方法验证 Token。如果验证通过，用户信息会被附加到请求对象中，允许后续的处理。

Token 的有效期与刷新机制

设置 Token 的有效期

在生产环境中，为了增强安全性，Token 通常会设置一个较短的有效期（如几分钟到几小时）。我们可以通过 jwt.sign 方法中的 expiresIn 参数来设置有效期。

1	const token = jwt.sign({ id: user.id }, SECRET_KEY, { expiresIn: '15m' }); // Token 有效期为 15 分钟

刷新 Token

当 Token 即将过期时，客户端可以请求服务器刷新 Token。通常，刷新 Token 需要用户提供旧的 Token，服务器验证旧 Token 的有效性后生成新的 Token。以下是一个简单的刷新 Token 的例子：

app.post('/refresh', authenticateToken, (req, res) => {
  const user = req.user; // 从旧 Token 中获取用户信息
  const newToken = jwt.sign({ id: user.id, role: user.role }, SECRET_KEY, { expiresIn: '1h' });
  res.json({ token: newToken });
});

使用 Token 的注意事项

Token 的安全存储

客户端需要妥善存储 Token，避免 Token 被泄露。常见的存储位置包括：

浏览器的 localStorage ：方便持久化存储，但容易受到 XSS 攻击。
浏览器的 cookie ：可以设置 HttpOnly 属性以增强安全性，但需要防范 CSRF 攻击。

使用 HTTPS

在传输 Token 时，应始终使用 HTTPS 来保证 Token 不会被窃取。

Token 的撤销机制

JWT 本身是无状态的，一旦生成，无法撤销。因此，如果某个 Token 需要立即失效，可以通过黑名单机制，在服务器端记录被撤销的 Token，并在每次请求时检查 Token 是否在黑名单中。

总结

Token 认证机制是一种高效、灵活的身份验证方式，尤其适用于分布式系统和无状态的 API。通过 Express 和 jsonwebtoken 库，我们可以轻松实现基于 Token 的认证系统，并确保通信的安全性。在实际应用中，我们应根据业务需求合理设置 Token 的有效期、存储方式及安全机制，以确保系统的安全性和用户体验。