我有一个奇怪的问题,或者我不明白JWT在Express上下文中是如何工作的。
var express = require('express')
var app = express();
var expressJWT = require('express-jwt');
var jwt = require('jsonwebtoken');
var cookieParser = require('cookie-parser');
var bodyParser = require('body-parser');
var unless = require('express-unless');
app.set('secret', 'some secret');
app.use(cookieParser());
app.use(bodyParser.urlencoded({ extended: false }));
app.use("/", expressJWT({secret:app.get('secret')})
.unless({
path:[
'/',
'/foo',
'/login'
]}
));
// my custom route middleware to verify a token
app.use(function(req, res, next) {
console.log("------------------------------------");
console.log("route middleware to verify a token");
console.log("");
// check header or url parameters or post parameters for token
var token = req.body.access_token || req.query.access_token || req.headers['x-access-token'] || req.cookies.access_token;
console.log("req.cookies.access_token:", req.cookies.access_token);
console.log("token:", token);
// decode token
if (token) {
// verifies secret and checks exp
jwt.verify(token, app.get('secret'), function(err, decoded) {
if (err) {
console.log("jwt.verify ERROR")
return res.json({ success: false, message: 'Failed to authenticate token.', err:err });
} else {
console.log("jwt.verify OK")
// if everything is good, save to request for use in other routes
req.decoded = decoded;
next();
}
});
} else {
// if there is no token
// return an error
return res.status(403).send({
success: false,
message: 'No token provided.'
});
}
});
app.get('/', function (req, res) {
res.send('Hello World!. /foo is open, /bar is protected. Login at /login')
})
app.get('/foo', function (req, res) {
res.send('Foo')
})
app.get('/bar', function (req, res) {
res.send('Foo')
})
app.get('/login', function (req, res) {
var username = 'mock_username';
var myToken = jwt.sign({username:username}, app.get('secret'));
res.cookie('access_token', myToken).send("logged in, check cookie");
})
app.listen(3000, function () {
console.log('Example app listening on port 3000!')
})
我正在设置JWT令牌并将其保存到/ login路由中的cookie。 如果我在浏览器中检查cookie(Chrome中的开发工具),这样就可以设置令牌。
我访问/或 / foo 路由(使用除非指定不受保护),浏览器显示正确的结果,但控制台仍然会抛出 UnauthorizedError 。如果我使用“除非”明确将此标记为不受保护的路由,为什么控制台中会显示错误?
我访问 / bar 路由(受保护),我的中间件未被调用,我在控制台和浏览器中都得到 UnauthorizedError 。如何确保中间件在此处被触发,如果在我的中间件中确实找到并验证了令牌,如何提供对此路由的访问?
答案 0 :(得分:5)
我访问/或/ foo路由(使用除非指定不受保护),浏览器显示正确的结果,但控制台仍然会抛出UnauthorizedError。如果我用“除非”明确地将其标记为不受保护的路由,为什么控制台中会显示错误?
通过指定unless
,您/
和/foo
路由仅从app.use("/", expressJWT(...)
不受保护,而不是来自后续middlewares
。该请求也将传递给您的自定义middlware。
我访问/ bar路由(受保护),我的中间件未被调用,我在控制台和浏览器中都获得了UnauthorizedError。如何确保中间件在此处被触发,如果在我的中间件中确实找到并验证了令牌,如何提供对此路由的访问?
因为,当找不到app.use("/", expressJWT(...))
时,应用程序在authorization token
崩溃了。因此,它无法访问您的自定义中间件。
可能的解决方案:1
由于JWT
令牌已存储在cookie
的情况下,您可以设置getToken
方法获取令牌并让express-jwt
验证它,并删除您的自定义中间件一共。
e.g。
app.use("/", expressJWT({
secret : app.get('secret'),
getToken: function fromCookie (req) {
var token = req.cookies.access_token || req.body.access_token || req.query.access_token || req.headers['x-access-token'] ;
if (token) {
return token;
}
return null;
}
}).unless({
path:[
'/',
'/foo',
'/login'
]}
));
并处理错误
app.use(function (err, req, res, next) {
if (err.name === 'UnauthorizedError') {
return res.status(403).send({
success: false,
message: 'No token provided.'
});
}
});
可能的解决方案:2
您可以通过实施自定义中间件(您已经完成)来执行自定义jwt
验证。然后根本不需要以下中间件。
删除以下行。
app.use("/", expressJWT({secret:app.get('secret')}).unless(...)
为了保护和取消保护路由,请在自定义中间件和unprotected
路由之前将protected
路由放在自定义中间件之后(天真的方式)。
希望它对你有所帮助。