使用 JWT 令牌。有更好的方法吗？

Question

我通过 nJWT 包使用 JWT 令牌通过 socket.io-jwt 包向我的 Socket.io 验证我的用户。

或多或少，代码看起来像这样。用户通过 HTML 表单发送 POST 请求以播放/登录以生成 JWT 令牌。然后，socket.io 客户端使用该令牌进行初始化。

/**
 * Create Express server.
 */
const app = express();
const http = require('http').Server(app);
const io = require('socket.io')(http);
const socketioJwt = require('socketio-jwt');

app.set('jwt.secret', secureRandom(256, {
    type: 'Buffer'
}));

app.post('/play/login', (req, res) => {
    // validate user's req.body.email and req.body.password

    const claims = {
      iss: "http://app.dev", // The URL of your service
      sub: "user-1", // The UID of the user in your system
      scope: "game"
    };

    const jwt = nJwt.create(claims, app.get("jwt.secret"));
    const token = jwt.compact();

    new Cookies(req,res).set('access_token', token, {
        httpOnly: true,
        secure: process.env.ENVIRONMENT === "production"
    });

    tokenUserRelations[token] = req.body.email;

    res.json({
         code: 200,
         token: token
     });  
});

/**
 * Add Socket IO auth middleware
 */
io.set('authorization', socketioJwt.authorize({
    secret: app.get("jwt.secret"),
    handshake: true
}));

io.sockets.on('connection', function (socket) {

    socket.on('chat message', function (req) {
        io.emit("chat message emit", {
            email: tokenUserRelations[socket.handshake.query.token],
            msg: req.msg
        });
    });

    socket.on('debug', function (req) {
        io.emit("debug emit", {
            playersOnline: Object.keys(tokenUserRelations).length
        });
    });

    socket.on('disconnect', function (req) {
        delete tokenUserRelations[socket.handshake.query.token];
    });
});
io.listen(app.get('socket.port'), () => {
    console.log('Started! Socket server listening on port %d in %s mode', app.get('socket.port'), app.get('env'));
});

现在，它工作正常，但为了跟踪来自令牌的电子邮件，我必须这样做：

tokenUserRelations[token] = req.body.email;

所以我可以关联令牌指向的用户。

我有一种感觉，将令牌电子邮件关系保存在全局对象中会在未来让我头疼，尤其是在令牌/cookie 过期时。

有没有更好的办法呢？我需要知道 JWT 令牌指向哪个用户，以便我可以对他们执行一些业务逻辑。

谢谢。

Answer 1

一个令牌可以包含任何你想要的信息，这个信息是沿着令牌加密的。

您可以做的是加密令牌中的用户 ID，当您收到请求时，解密令牌（无论如何在您验证它时完成），然后照常使用用户 ID。

这样，如果令牌过期，新令牌将具有相同的用户 ID，并且您的代码不会受到影响。

这是我在我的一个网络应用程序中所做的，它运行良好。但是，我使用的是official jwt module

Answer 2

您没有在代码中显示有关如何创建或维护 tokenUserRelations 的任何内容，但是当我听到“全局”时，我的脑海中就会出现一个危险信号。

JWT 标准包括在令牌本身中嵌入“声明”的概念；您已经在使用 claims 常量这样做了。该数据格式是任意的，只要整个 JWT 得到验证，您的应用程序就可以信任该格式。请注意，您需要在每个请求上验证 JWT。因此，将电子邮件填充到该声明对象中不仅没问题，而且大多数人都会这样做。

作为旁注，您现在应该注意如何设置“jwt.secret”。您现在拥有的内容将在每次应用程序启动时生成一个新的，这意味着 a）您的所有用户都将被注销并且每次应用程序重新启动时都必须重新登录，并且 b）您无法使用如果将来需要，多个进程或多个服务器。

最好从环境中提取它（例如环境变量）而不是在应用启动时生成它，除非您只是出于调试目的这样做。

Answer 3

除了上述出色的答案之外，如果您决定将 jwt.secret 存储在一个文件中并在代码加载时将其拉入，那么您不要将其添加到您的 git 存储库（或任何其他 VCS）中，这一点也很重要您正在使用）。确保在 .gitignore 文件中包含“jwt.secret”的路径。然后，当您准备好部署生产代码时，您可以按照建议将该密钥设置为环境变量。如果您需要重置它，您将在本地环境中记录该密钥。

使用 JWT 是保护您的 api 的一种出色且便捷的方法，但遵循最佳实践至关重要。