具有节点/ Express的基于令牌的身份验证

Question

关于JWT身份验证的工作方式，我有些困惑。 用户能够登录后，我的快速服务器将使用令牌进行响应，该令牌存储在客户端的本地存储中。 对于每个请求，我都会发送该令牌。 我的问题是，如何限制用户查看其特定数据（例如，用户个人资料）？ 令牌本身就能确定哪个用户正在服务器端请求用户数据，还是我必须将用户名与令牌一起发送？ 这样安全吗？

Answer 1

JWT令牌将包含3个部分，其中之一称为有效负载，您将在登录时使用它来存储用户的ID。当用户使用其令牌发送请求时，您将对其解码并从有效负载中获取ID。然后通过查询数据库，您可以获取用户的个人资料。

如何限制用户查看其特定数据（例如，用户个人资料）？

如果您从令牌的有效负载中获取ID，则可以将其与用户想要查看的个人资料的ID相比较，如果它们相同，则表示他希望查看自己的个人资料。

令牌本身就能确定哪个用户正在服务器端请求用户数据，还是我必须将用户名与令牌一起发送？

不需要用户名，仅令牌就足够了，因为它可以标识用户。

这样安全吗？

阅读以下内容： http : //cryto.net/~joepie91/blog/2016/06/13/stop-using-jwt-for-sessions/当然还有其他意见，请尝试实施最佳实践，我想您会精细。