身份认证

什么是身份认证

身份认证又称 “身份验证”， “鉴权”，是指通过一定的手段，完成对用户身份的确认。

日常生活中的身份认证随处可见，例如：高铁的验票乘车，手机的密码或指纹解锁，支付宝或微信的支付密码等。
在web 开发中，也涉及到用户身份的认证，例如：各个网站的手机验证，邮箱密码登录，二维码登录等。

为什么需要身份认证

身份认证的目的，是为了确认当前所声称为某种身份的用户，确实是所声称的用户。

不同开发模式下的身份认证

对于服务端渲染 和 前后端分离这两种开发模式来说，分别有着不同的身份认证方案：

服务端渲染推荐使用 Session 认证机制
前后端分离推荐使用 JWT认证机制

Session 认证机制

HTTP协议的无状态性

了解HTTP协议的无状态性是进一步学习Session 认证机制的必要前提。

HTTP协议的无状态性，指的是客户端的每次HTTP请求都是独立的，连续多个请求之间没有直接的关系， 服务器不会主动保留每次HTTP请求的状态。

如何突破HTTP无状态的限制

对于超市来说，为了方便收银员在进行结算时给VIP用户打折，超市可以为每个VIP用户发放会员卡。

注意：现实生活中的会员卡身份认证方式，在web开发中的专业术语叫做Cookie。

什么是Cookie

Cookie是存储在用户浏览器中的一段不超过4kb的字符串。它由一个名称（Name），一个值（Value）和其他几个用于控制Cookie有效期，安全性，使用范围的可选属性组成。

不同域名下的Cookie各自独立，每当客户端发起请求时，会自动把当前域名下所有未过期的Cookie一同发送到服务器。

Cookie的几大特性：

自动发送
域名独立
过期时限
4KB限制

Cookie在身份认证中的作用

客户端第一次请求服务器的时候，服务器通过响应头的形式，向客户端发送一个身份认证的Cookie，客户端会自动将Cookie保存在浏览器中。

随后，当客户端浏览器每次请求服务器的时候，浏览器会自动将身份认证相关的Cookie，通过请求头的形式发送给服务器，服务器可验明客户端的身份。

Cookie不具有安全性

由于Cookie是存储在浏览器中的，而且浏览器也提供了读写Cookie的API，因此Cookie很容易被伪造，不具有安全性，因此不建议服务器将重要的隐私数据，通过Cookie的形式发送给浏览器。

注意： 千万不要使用Cookie存储重要且隐私的数据！，比如用户的身份信息，密码等。

提高身份认证的安全性

为了防止客户伪造会员卡，收银员在拿到客户出示的会员卡之后，可以在收银机上进行刷卡认证，只有收音确认存在的会员卡，才会被正常使用。

这种”会员卡 + 刷卡认证“的设计理念，就是Session认证机制的精髓。

Session的工作原理

session工作原理.png

在Express中使用Session认证

安装express-session中间件

在Express项目中，只需要安装express-session中间件，即可在项目中使用Session认证：

    npm install express-session

配置express-session中间件

express-session中间件安装成功后，需要通过app.use()来注册session中间件，示例代码如下：

    // 导入session中间件
    var session = require('express-session')
    
    // 配置session 中间件
    app.use(session({
        secret: 'keyboard cat', // secret 属性的值可以为任意字符串
        resave: false, // 固定写法
        saveUnitialized: true // 固定写法
    }))

向session中存数据

当express-session中间件配置成功后，即可通过req.express来访问和使用session对象，从而存储用户的关键信息：

    app.post('/api/login', (req, res) => {
        //判断用户提交的登录信息是否正确
        if(req.body.username !== 'admin' || req.body.password !== '000000') {
            return res.send({status: 1, msg: '登录失败'})
        }
        
        req.session.user = req.body // 将用户信息，存储到session中
        req.session.islogin = true // 将用户的登录状态， 存储到Session中
        
        res.send({status: 0, msg: '登录成功'})
    })

从session中取数据

可以直接从req.session对象上获取之前存储的数据，示例代码如下：

    // 获取用户姓名的接口
    app.get('/api/username', (req, res) => {
        // 判断用户是否登录
        if (!req.session.islogin) {
            return res.send({status: 1, msg: 'fail'})
        }
        
        res.send({status: 0, msg: 'success', username: req.session.user.username})
    })

清空session

调用req.session.destroy()函数，即可清空服务器保存的session信息

    // 退出登录的接口
    app.post('/api/logout', (req, res) => {
        // 清空当前客户端对应的session信息
        req.session.destroy()
        res.send({
            status: 0,
            msg: '退出登录成功'
        })
    
    })

JWT认证机制

了解Session 认证的局限性

Session 认证机制 需要配合Cookie才能实现，由于Cookie默认不支持跨域访问，所以，当涉及到前端跨域请求后端接口的时候， 需要做很多额外的配置，才能实现跨域Session认证。

注意：

当前端请求后端接口不存在跨域问题的时候， 推荐使用session身份认证机制
当前端需要跨域请求后端接口的时候，不推荐使用session身份认证机制，推荐使用JWT认证机制。

什么是JWT

JWT （英文全称： JSON Web Token）是目前最流行的跨域认证解决方案。

JWT的工作原理

sequenceDiagram
浏览器Client->>服务器Server: 客户端登录：提交账号与密码
服务器Server-->>服务器Server: 验证账号和密码
服务器Server-->>服务器Server: 验证通过之后， 将用户的信息对象， 经过加密之后生成Token字符串
浏览器Client-->>浏览器Client: 将Token存储到localStorage或者sessionStorage
浏览器Client-)服务器Server: 客户端再次发起请求时， 通过请求头的Authorization字段，将Token发给服务器
服务器Server-->>服务器Server: 服务器把Token字符串还原成用户的信息对象
服务器Server-->>服务器Server: 用户的身份认证成功后，服务器针对当前用户生成特定的响应内容
服务器Server-->>浏览器Client: 服务器响应： 把当前用户对应的页面内容响应给浏览器

总结：用户信息通过Token字符串的形式，保存在客户端浏览器中，服务器通过还原Token字符串的形式来认证用户的身份。

JWT的组成部分

JWT 通常由三部分组成，分别是Header(头部)， Paload（有效荷载）， Signature（签名）。三者之间使用英文"."分隔，格式如下：


 Header.Payload.Signature

JWT的三个部分各自代表的含义

JWT的三个组成部分， 从前到后分别是Header, Payload, Signature。

其中：

Payload部分才是真正的用户信息，它是用户信息经过加密之后生成的字符串。
Header 和Signature 是安全性相关的部分，只是为了保证Token的安全性。

JWT 的使用方式

客户端收到服务器返回的JWT 之后，通常会将它存储在 localStorage 或者 sessionStorage 中。此后，客户端每次与服务器通信，都要带上这个JWT的字符串，从而进行身份认证，推荐的做法是把JWT放在HTTP请求头的Authorization字段中，格式如下：

  Authorization: Bearer <token>

在Express中使用JWT

安装JWT相关的包

运行如下命令，安装如下两个JWT相关的包：

  npm install jsonwebtoken express-jwt

其中：

jsonwebtoken 用于生成JWT字符串
express-jwt 用于将JWT字符串解析还原成JSON对象

导入JWT相关的包

使用rquire() 函数，分别导入JWT 相关的两个包：

  // 导入用于生成JWT字符串的包
  const jwt = require('jsonwebtoken')
  // 导入用于将客户端发送过来的JWT字符串，解析还原成JSON对象的包
  const expressJWT = require('express-jwt')

定义secret 密钥

为了保证JWT字符串的安全性，防止JWT字符串在网络传输过程中被别人破解，我们需要专门定义一个用于加密和解密的secret密钥：

当生成JWT字符串的时候，需要使用secret密钥对用户的信息进行加密，最终得到加密好的JWT字符串
当把JWT字符串解析还原成JSON对象的时候，需要使用secret密钥进行解密

 // secret 密钥的本质， 就是一个字符串
 const secretKey = `aaaa No1  ^_^`

在登录成功后生成JWT字符串

调用jsonwebtoken 包提供的sign()方法，将用户的信息加密成JWT字符串，响应给客户端：

 // 登录接口
 app.post('/api/login', function(req, res) {
   // ...省略登录失败的情况
   // 用户登录成功之后， 生成JWT 字符串， 通过token属性响应给客户端
   res.send({
     status: 200,
     message: '登录成功',
     // 调用jwt.sign()生成jwt字符串， 三个参数分别是：用户信息对象， 加密密钥， 配置对象（可以配置当前token的有效期）
     token: jwt.sign({username: userInfo.username}, secretKey, {expiresIn: '30s'})
   })
 })

将JWT字符串还原为JSON对象

客户端每次在访问那些有权限接口的时候，都需要主动通过请求头中的Authorization字段，将Token字符串发送到服务器进行身份认证。此时，服务器可以通过express-jwt这个中间件，自动将客户端发送过来的Token解析还原成JSON对象：

  // 使用app.use() 来注册中间件
  // expressJWT({secret:secretKey}) 就是用来解析Token的中间件
  // .unless({path: [/^\/api\//]}) 用来指定哪些接口不需要访问权限
  app.use(expressJWT({secret:secretKey}).unless({path: [/^\/api\//]}))

使用req.user 获取用户信息

当express-jwt这个中间件配置成功之后，即可在那些有权限的接口中，使用req.user对象，来访问从JWT字符串中解析出来的用户信息了，示例代码如下：

  // 这是一个有权限的API接口
  app.get('/admin/getInfo', function(req, res) {
    console.log(req.user)
    res.send({
      status: 200, 
      message: '获取用户信息成功',
      data:req.user
    })

  })

捕获解析JWT失败后产生的错误

当使用express-jwt解析Token字符串时，如果客户端发送过来的Token字符串过期或者不合法，会产生一个解析失败的错误，影响项目的正常运行，我们可以通过Express的错误中间件，捕获这个错误并进行相关的处理，示例代码如下：

  app.use((err, req, res, next) => {
    // token 解析失败导致的错误
    if(err.name === 'UnanthorizedError') {
      return res.send({
        status: 401, 
        message: '无效token'
      })
    }

    // 其他原因导致的错误
    res.send({
      status: 500, 
      message: '未知错误'
    })
  })

前后端身份认证