如何使用JWT刷新令牌生成新的访问令牌

Question

我正在使用Node.js和Express来处理JWT Auth。 首先，每次创建和验证用户时，我都会在User集合中存储refresh token ：

 const refreshToken = await jwt.sign({ userId: decoded.user }, process.env.JWT_Refresh_Key); const user = await User.updateOne({ _id: mongoose.Types.ObjectId(decoded.user) }, { refresh_token: refreshToken, status: true }); 

成功登录后生成JWT访问令牌（15分钟后到期）：

 const token = await jwt.sign( { email: user.email, userId: user._id, role: user.role }, process.env.JWT_Key, { expiresIn: '15m' }); res.status(200).json({success: true, token: token}); 

然后access token存储在localStorage ，由Angular Http Interceptor和auth方法处理。 15分钟后， token对于处理请求将无效，因此我需要使用存储在数据库中的refresh token 。

在AuthService.ts上调用Refresh方法：

 export class AuthService { constructor(private http: HttpClient){} refreshToken(token: string) { this.http.post<{token: string, expiresIn: number, name: string}>(`${BACKEND_URL}/refreshtoken`, {token: token}) .subscribe((data) => { const expiresAt = moment().add(data.expiresIn, 'second'); localStorage.setItem('token', data.token); localStorage.setItem('expiration', JSON.stringify(expiresAt.valueOf())); }); } } //route router.post('/refreshtoken', user.refreshToken); //controller user.js exports.refreshToken = async(req, res, next) => { // I need to store and call 'old_refreshtoken' where?? const user = await User.findOne({ refresh_token: old_refreshtoken }); if (user) { const newToken = await jwt.sign( { email: user.email, userId: user._id, role: user.role }, process.env.JWT_Key, { expiresIn: '15m' }); res.status(200).json({success: true, token: newToken, expiresIn: 900, name: user.name}); } else { res.status(401).json({success: false, message: 'Autenticação falhou.'}); } }; 

如何使用refresh token （数据库）生成新的access token ？ 我不知道如何来存储refresh token上的客户端（角）来比较，以refresh token存储在数据库中。

Answer 1

我假设你有自己的后端来处理刷新令牌进程。 如果不是这样，请告诉我

我对此过程所做的是将所有解码和编码移动到后端。 但您必须确保在后端存储最新的活动刷新令牌。 否则，有人可以重用旧令牌来创建访问令牌。

1. 在前端商店的到期日。 然后，每当您向后端发出请求时，请检查是否未超过到期日期（可能您要考虑请求的延迟，例如到期前5秒）。 如果它已过期，则触发刷新令牌方法。
2. 在back-end创建刷新令牌端点，并向其发送access-token和refresh-token
3. 解码access-token并获取必要的数据。 忽略此解码功能中的失效日期。
4. 将refresh-token与db中的最新refresh-token进行比较。 如果不匹配，则不授权用户。 否则，继续。
5. 现在，如果要重用旧数据，则无需查询数据库，只需将access-token内容重新编码为新令牌即可。 否则，请执行查询并重新构建access-token 。

希望这可以帮助

Answer 2

首先，您拥有刷新令牌方法的用户控制器不需要下一个参数，因为您没有使用它。 next参数非常像一个承诺 ， 它涉及到中间件处理程序。

中间件流应该与控制器分开，取决于您的应用程序文件夹结构。

您可以像成功登录前一样创建刷新令牌端点。

 refreshToken = (payload, secret) => {
  const token = jwt.sign(payload, secret, {
    expiresIn: '15m',
  });
  return token
 }

然后使用jwt验证方法jwt.verify(token, secret, handler)验证jwt.verify(token, secret, handler) 。

exports.refreshToken = (req, res, next) => {
 const token = req.headers['x-access-token'] || req.headers.token;
 /* if token was not provided */
 if (!token) {
    return res.status(403).send({
        success: false,
        message: 'Not Authorized',
    });
 }
 /* verify token*/
 jwt.verify(token, secret, (error, decoded) => {
    if (error) {
        return res.status(401).send({
            success: false,
            message: 'Invalid token',
        });
    }
    req.decoded = decoded;
    next();
 });
}

在前端商店中有效期（令牌）。 然后，每次向后端发出请求时，使用jwt verify方法检查令牌是否仍然有效（已过期）。 如果它已过期，则触发刷新令牌方法。

• 您可以在req.decoded等req参数中获取已解码的令牌。
• 使用localStorage ， localStorage.setItem(userToken, token)在客户端存储令牌 localStorage.setItem(userToken, token)并通过localStorage.getItem(userToken)获取令牌。