JWT與Session怎么在Nodejs中使用？相信很多沒有經(jīng)驗的人對此束手無策，為此本文總結(jié)了問題出現(xiàn)的原因和解決方法，通過這篇文章希望你能解決這個問題。

成都創(chuàng)新互聯(lián)專注于上蔡網(wǎng)站建設(shè)服務(wù)及定制，我們擁有豐富的企業(yè)做網(wǎng)站經(jīng)驗。 熱誠為您提供上蔡營銷型網(wǎng)站建設(shè)，上蔡網(wǎng)站制作、上蔡網(wǎng)頁設(shè)計、上蔡網(wǎng)站官網(wǎng)定制、重慶小程序開發(fā)公司服務(wù)，打造上蔡網(wǎng)絡(luò)公司原創(chuàng)品牌,更為您提供上蔡網(wǎng)站排名全網(wǎng)營銷落地服務(wù)。

使用JWT

JWT是JsonWebTokens的簡寫形式，具體是啥我就不詳細寫了，可以查看資料。
這里引入兩個插件，express-jwt和JsonWebTokens，-

1. JsonWebTokens：用作生成token

2. express-jwt：用作驗證指定http請求的JsonWebTokens的有效性，如果有效就將JsonWebTokens的值設(shè)置到req.user里面，然后路由到相應(yīng)的router

express-jwt內(nèi)部引用了jsonwebtoken，對其封裝使用。使用JWT形式進行認證與授權(quán)的思路如下。

jwt認證流程

在服務(wù)端中使用方式如下：

//安裝
npm i jsonwebtoken --save
npm i express-jwt --save

//引入
const jwt= require('jsonwebtoken');
const expressJwt = require('express-jwt');

//定義簽名
const secret = 'salt';
//生成token
const token = jwt.sign({
  name: 123
}, secret, {
  expiresIn: 60 //秒到期時間
});
//生成的token
//eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJuYW1lIjoxMjMsImlhdCI6MTQ5MTQ3NTQyNCwiZXhwIjoxNDkxNDc1NDg0fQ.hYNC4qFAyhZClmPaLixfN137d41R2CFk1xPlfLK10JU

//使用中間件驗證token合法性
app.use(expressJwt ({
  secret: secret 
}).unless({
  path: ['/login', '/getUserInfo'] //除了這些地址，其他的URL都需要驗證
}));

//攔截器
app.use(function (err, req, res, next) {
  //當(dāng)token驗證失敗時會拋出如下錯誤
  if (err.name === 'UnauthorizedError') {  
    //這個需要根據(jù)自己的業(yè)務(wù)邏輯來處理（ 具體的err值 請看下面）
    res.status(401).send('invalid token...');
  }
});

//定義一個接口，返回token給客戶端
app.get('/getUserInfo', function(req, res) {
  res.json({
    token: token
  })
})

客戶端中使用token的正確形式應(yīng)該是把token放在authorization 這個header里， 對應(yīng)的值以Bearer開頭然后空一格

authorization:Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJuYW1lIjoiQmluTWFpbmciLCJkYXRhIjoiPT09PT09PT09PT09PSIsImlhdCI6MTUwMTgxNDE4OCwiZXhwIjoxNTAxODE0MjQ4fQ.GoxGlc6E02W5VvqDNawaOrj3MPO-4UYeFdngKR4bVTE

//采用axios可以這么寫
const instance = axios.create();
const yourToken = 'sfsgagfdgd';
//設(shè)置請求攔截器
instance.interceptors.request.use(function(config) {
  config.headers.authorization = `Bearer ${yourToken}` 
  return config;
})

使用Session

傳統(tǒng)的認證和用戶識別分別采用如下形式

• 服務(wù)端：創(chuàng)建一個session對象保存用戶登錄信息和狀態(tài)，該對象有唯一ID，并返回一個cookie給客戶端

• 客戶端：請求api時發(fā)送http頭部自動帶上cookie

這里使用cookie的方式需要引入兩個插件：

• express-session：node端的session中間件，主要用作配置session的屬性并生成

• cookie-parser：node端解析cookie對象

使用思路和JWT差不多，這里主要的區(qū)別在于客戶端請求資源時不用手動在http請求的header添加標(biāo)識，瀏覽器會自動加上cookie，具體使用方式如下

var express = require('express');
var cookieParser = require('cookie-parser');
var session = require('express-session');
 
app.use(cookieParser('sessiontest'));
app.use(session({
  secret: 'sessiontest',//與cookieParser中的一致
  resave: true,  //(是否允許)當(dāng)客戶端并行發(fā)送多個請求時，其中一個請求在另一個請求結(jié)束時對session進行修改覆蓋并保存。
  rolling: true,  //強制在每個響應(yīng)中重設(shè)cookie的過期時間，并重新開始計時
  saveUninitialized:true,  //初始化session時是否保存到存儲。默認為true， 但是(后續(xù)版本)有可能默認失效，所以最好手動添加。
  cookie: {
    maxAge: 60 * 1000 //過期時間，單位毫秒
  }
}));

/**
 * 資源請求攔截器
 * 用戶端若登錄狀態(tài)過期或未登錄則自動拋出錯誤
 */
app.use(function(req, res, next) {
  let url = req.originalUrl;
  req.session.touch(); //刷新session過期時間
  if (url !== '/login' && !req.session.user) {
    res.status(401).send('登錄狀態(tài)已過期');
    return
  }
  next();
})

對比

作為一個實踐派人士，我把兩種都試了一遍，同時結(jié)合網(wǎng)上的博客歸納了如下對比

1. JWT無狀態(tài)，可擴展和解耦。使用JWT不需要后端進行記錄，每個token都是獨立的。而session的誕生就是為了解決http無狀態(tài)的問題，這也就說明服務(wù)端是有存儲每個用戶對應(yīng)的session對象的，擴展性會更繁瑣些

2. 跨域和CORS。每次發(fā)送請求到后端都需要檢查JWT，只要驗證通過就能處理請求。而Cookie只能在單域和子域中發(fā)揮作用

3. JWT生成消耗一定的內(nèi)存，而且體積較大，最小的它都比cookie要大，如果JWT里包含了許多聲明，那問題就比較嚴(yán)重了，由于每次向服務(wù)器發(fā)起請求都要攜帶token，太大了會造成請求緩慢

4. session比JWT好的地方在于在請求時瀏覽器會自動帶http頭部帶上cookie，并且在用戶持續(xù)使用時會不斷地刷新session的過期時間，當(dāng)瀏覽器關(guān)閉時自動清除session。相比之下JWT本身沒法做到隨著用戶的使用而更新或手動清除，只能等自動過期

看完上述內(nèi)容，你們掌握JWT與Session怎么在Nodejs中使用的方法了嗎？如果還想學(xué)到更多技能或想了解更多相關(guān)內(nèi)容，歡迎關(guān)注創(chuàng)新互聯(lián)行業(yè)資訊頻道，感謝各位的閱讀！