使用koa-jwt中間件實現用戶認證授權

一、什麼是koa-jwt中間件

koa-jwt是一個用於koa的JWT認證中間件，它可以很方便地幫助我們進行用戶認證授權，保護介面數據不被未授權的用戶訪問。JWT認證是基於JSON Web Token的認證機制，它通過在HTTP請求中加入Token來實現用戶身份的認證，從而保護敏感信息。

在使用koa-jwt中間件時，需要首先生成Token，並將其保存到用戶的客戶端（如瀏覽器）中。當用戶訪問受保護的介面時，伺服器需要驗證Token的有效性，並根據Token中攜帶的用戶信息進行認證授權。

const jwt = require('jsonwebtoken');
const secret = 'mysecret';

// 生成Token
const token = jwt.sign({ userId: 123 }, secret, { expiresIn: '1h' });

二、如何使用koa-jwt中間件

使用koa-jwt中間件很簡單，只需要在需要認證授權的介面前加上jwt()方法即可：

const Koa = require('koa');
const jwt = require('koa-jwt');
const secret = 'mysecret';
const app = new Koa();

// 使用koa-jwt中間件
app.use(jwt({ secret }).unless({ path: ['/login'] }));

// 需要認證授權的介面
app.get('/protected', ctx => {
  const { userId } = ctx.state.user;
  ctx.body = `Hello ${userId}! This is your protected data.`;
});

// 登錄介面
app.post('/login', ctx => {
  // 驗證用戶名和密碼
  if (ctx.request.body.username === 'admin' && ctx.request.body.password === 'admin') {
    // 登錄成功，生成Token並返回給客戶端
    const token = jwt.sign({ userId: 123 }, secret, { expiresIn: '1h' });
    ctx.body = { token };
  } else {
    // 登錄失敗
    ctx.status = 401;
    ctx.body = { error: 'Invalid username or password.' };
  }
});

app.listen(3000, () => {
  console.log('Server started on port 3000');
});

三、如何配置koa-jwt中間件

在使用koa-jwt中間件時，可以配置一些選項來滿足不同的需求。常用的選項如下：

• secret: 用於生成和驗證Token的密鑰
• key: Token中保存用戶信息的鍵名，默認為user
• algorithm: 生成Token時使用的加密演算法，默認為HS256
• expiresIn: Token的過期時間，默認為1d
• getToken: 從請求中獲取Token的函數,默認為從ctx.headers中獲取Authorization頭部信息，並去除Bearer 前綴

在koa-jwt中間件調用中，我們也可以使用unless方法來設置不需要進行認證授權的路由或者路徑：

// 不需要認證授權的路由
const unprotectedRoute = [/^\/public/, '/login'];

// 使用koa-jwt中間件
app.use(jwt({ secret }).unless({ path: unprotectedRoute }));

四、如何處理Token驗證失敗

由於Token驗證失敗可能會發生在很多地方，如在koa-jwt中間件中、在業務邏輯中、在自定義錯誤處理中等，因此我們需要對Token驗證失敗的情況進行統一的處理。

在koa-jwt中間件中，如果Token驗證失敗，會返回401 Unauthorized錯誤，我們可以通過捕獲此錯誤並設置到響應中來做處理：

// 全局錯誤處理
app.use(async (ctx, next) => {
  try {
    await next();
  } catch (err) {
    if (err.status === 401) {
      ctx.status = 401;
      ctx.body = { error: 'Authentication failed.' };
    } else {
      throw err;
    }
  }
});

五、如何在koa-jwt中間件中獲取用戶信息

在koa-jwt中間件中，我們可以通過ctx.state.user來獲取Token中攜帶的用戶信息：

// 需要認證授權的介面
app.get('/protected', ctx => {
  const { userId } = ctx.state.user;
  ctx.body = `Hello ${userId}! This is your protected data.`;
});

六、小結

使用koa-jwt中間件實現用戶認證授權是非常方便的，只需要簡單地配置一下中間件和需要認證授權的介面即可。同時，通過捕獲錯誤，我們也能夠很好地處理Token驗證失敗的情況。