一、引言
在现代 Web 应用中，JSON Web Token（JWT）被广泛用于身份验证和授权。然而，为了保证安全性和用户体验，需要一种有效的令牌刷新机制。本文将详细介绍 JWT 令牌刷新方案的实现与方法。
二、JWT 令牌简介
JWT 是一种开放标准（RFC 7519），它定义了一种紧凑且自包含的方式，用于在各方之间安全地传输信息。JWT 通常由三部分组成：头部（Header）、载荷（Payload）和签名（Signature）。它在用户登录成功后由服务器生成并返回给客户端，客户端在后续的请求中携带该令牌以验证身份。
三、令牌刷新的必要性
- 安全性：短生命周期的访问令牌可以降低令牌被窃取后带来的风险。但频繁要求用户重新登录会影响用户体验，因此需要刷新令牌来延长会话。
- 用户体验：允许用户在不重新输入用户名和密码的情况下，持续使用应用，提升用户的使用便捷性。
四、实现方案
（一）双令牌机制
- 访问令牌（Access Token）：用于常规的 API 请求验证，通常具有较短的有效期，例如 15 分钟。
- 刷新令牌（Refresh Token）：用于在访问令牌过期时获取新的访问令牌，有效期较长，如 7 天。
（二）服务器端实现
- 生成令牌：用户登录成功后，服务器生成访问令牌和刷新令牌。访问令牌包含用户的基本信息和权限声明，刷新令牌可以是一个随机的字符串，与用户账户关联存储在服务器端的数据库或缓存中。
- 验证令牌：当客户端发送 API 请求时，服务器验证访问令牌的有效性。如果访问令牌过期，服务器检查请求中是否包含有效的刷新令牌。
- 刷新令牌逻辑：如果刷新令牌有效，服务器生成新的访问令牌并返回给客户端，同时可以选择更新刷新令牌（例如，每次刷新后生成新的刷新令牌，以增加安全性）。如果刷新令牌无效或已过期，要求用户重新登录。
（三）客户端实现
- 存储令牌：客户端在用户登录成功后，将访问令牌和刷新令牌存储在安全的地方，如浏览器的本地存储或内存中。
- 发送请求：在每次 API 请求时，在请求头中携带访问令牌。当接收到访问令牌过期的响应时，使用刷新令牌向服务器发送刷新请求。
- 错误处理：如果刷新令牌也无效，提示用户重新登录。
五、示例代码（以 Node.js 和 Express 为例）
const express = require('express');
const jwt = require('jsonwebtoken');
const app = express();
const secretKey ='mysecretkey';
// 模拟用户数据库
const users = [
{ id: 1, username: 'user1', password: 'password1' }
];
// 登录路由
app.post('/login', (req, res) => {
const { username, password } = req.body;
const user = users.find(u => u.username === username && u.password === password);
if (user) {
const accessToken = jwt.sign({ userId: user.id }, secretKey, { expiresIn: '15m' });
const refreshToken = jwt.sign({ userId: user.id }, secretKey, { expiresIn: '7d' });
res.json({ accessToken, refreshToken });
} else {
res.status(401).json({ message: 'Invalid credentials' });
}
});
// 受保护的路由
app.get('/protected', authenticateToken, (req, res) => {
res.json({ message: 'This is a protected route' });
});
// 刷新令牌路由
app.post('/refresh', (req, res) => {
const refreshToken = req.body.refreshToken;
if (refreshToken == null) return res.sendStatus(401);
jwt.verify(refreshToken, secretKey, (err, user) => {
if (err) return res.sendStatus(403);
const newAccessToken = jwt.sign({ userId: user.userId }, secretKey, { expiresIn: '15m' });
res.json({ accessToken: newAccessToken });
});
});
function authenticateToken(req, res, next) {
const authHeader = req.headers['authorization'];
const token = authHeader && authHeader.split(' ')[1];
if (token == null) return res.sendStatus(401);
jwt.verify(token, secretKey, (err, user) => {
if (err) return res.sendStatus(403);
req.user = user;
next();
});
}
const port = 3000;
app.listen(port, () => {
console.log(`Server running on port ${port}`);
});六、总结
JWT 令牌刷新方案通过双令牌机制，在保障安全性的同时提升了用户体验。服务器端和客户端按照既定的逻辑协同工作，确保令牌的有效管理和使用。开发者在实际应用中可以根据具体需求对该方案进行优化和扩展。
本文链接：https://blog.runxinyun.com/post/964.html 转载需授权！
留言0