没有护照的Node.js身份验证：json web令牌是否可靠？

Question

我正在使用MEAN堆栈，并希望确保某些路由具有经过身份验证的用户。我一直在阅读JSON网络令牌。这看似合理。

在我再投入时间之前，我想问一下是否还有其他人使用过它，以及到目前为止他们是否有任何重大缺陷。除了护照之外还有其他受欢迎的选择吗？

Answer 1

JSON网络令牌有几个缺陷，如果处理得当，可以使该方法对执行授权非常有用：

• 客户端仍然需要将用户凭据传输到身份验证服务器，这意味着使用安全传输是至关重要的
• 如果敏感信息被放入令牌中，则此信息应由客户端加密并通过安全传输发送
• 根据您构建令牌的方式以及与之共享的令牌，令牌应具有有限的生命周期，防止其他人因令牌生成而对其进行解构，并可能将伪造的数据发送给服务器

除了passport之外，基本上还有其他基于cookie的身份验证的方法，但我不知道有任何方法可以很好地集成和普及，但我相信你可能会发现更高效的东西。还有其他基于cookie的方案的例子，你可以实现，例如来自SO的auto-login scheme。

如果你想花时间学习如何实施JWT，那肯定是值得的。如果您试图评估是否需要使用JWT，一个好的经验法则是问自己是否会有多个身份验证服务器，是否需要授权跨多个不同域的客户端以及是否需要客户端进行无状态/临时授权令牌。