AI 助理
备案控制台
开发者社区 安全 文章 正文

Nest.js JWT 验证授权管理

2024-03-27 162
版权
版权声明：
本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《 阿里云开发者社区用户服务协议》和 《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写 侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
简介： Nest.js JWT 验证授权管理

什么是JWT 验证

JWT（JSON Web Token）是一种用于在网络应用中传输信息的开放标准（RFC 7519）。它是一种基于JSON的安全令牌，用于在不同系统之间传递声明（claims）。JWT通常用于身份验证和授权机制。

JWT 组成

JWT由三个部分组成，它们通过点号（.）分隔：

  1. 头部（Header）：描述令牌的元数据和签名算法。
  2. 载荷（Payload）：包含声明信息，例如用户身份、权限等。
  3. 签名（Signature）：用于验证令牌的完整性和真实性。

JWT 验证流程

  1. 接收到JWT后，首先将其拆分为头部、载荷和签名三个部分。
  2. 验证签名：使用事先共享的密钥和签名算法对头部和载荷进行签名验证，确保令牌未被篡改。
  3. 检查有效期：检查载荷中的声明，例如过期时间（exp）和生效时间（nbf），确保令牌在有效时间范围内。
  4. 可选的其他验证：根据需要，可能还会验证其他声明，如发行者（iss）、受众（aud）等。

一旦JWT通过验证，可以信任其内容，并根据其中的声明执行相应的操作。常见的用途包括用户身份验证、授权访问资源和传递用户信息等。

需要注意的是，JWT的安全性依赖于密钥的保护和正确的实现。同时，由于JWT本身包含了用户信息，因此在传输过程中需要采取适当的安全措施，如使用HTTPS来保护通信。

Nest JWT 实践

我们需要创建一个 auth 模块 和 一个 user 模块，还需要创建一个 Guards , 用来验证token是否通过放行。

创建 auth模块

通过指令快速创建一个 auth 模块。

nest g co auth 
nest g s auth 
nest g mo auth

接着我们在 controller 中 写一个 验证签名的方法，然后调用 service 处理验证业务逻辑

auth.controller

import { Body, Controller, Post, HttpCode, HttpStatus } from '@nestjs/common';
import { AuthService } from './auth.service';
import { UserDto } from './dto/user.dto';
import { Public } from './public.auth';

@Controller('auth')
export class AuthController {
    constructor(private authService: AuthService) {}

    @HttpCode(HttpStatus.OK)
    @Post('login')
    signIn(@Body() user:UserDto) {
      return this.authService.signIn(user.username, user.password);
    }


}

auth.service

在service 中我们做的事情是，接收客户端发送过来的请求，处理签名验证。

  1. 接收客户端发送的请求（用户名，密码）
  2. 去数据库查询是否存在该用户，如果存在比对密码(示例中是伪代码)
  3. 密码通过的话，配置 JWT 的 Payload ，声明信息，例如用户身份、权限等
  4. 最终通过 this.jwtService.signAsync(payload) 异步生成token，返回给前端，客户端发起请求时，如果该请求需要 token 验证的，会验证 token 是否正确。

请在此添加图片描述

import { Injectable , UnauthorizedException} from '@nestjs/common';
import { UserService } from 'src/user/user.service';
import { JwtService } from '@nestjs/jwt';

@Injectable()
export class AuthService {
    constructor(
        private usersService: UserService,
        private jwtService: JwtService
        ) {}


    //  用来验证用户名和密码
    async signIn(username: string, pass: string): Promise<any> {
        // 用来查找数据库是否存在该用户名
        const user = await this.usersService.findOne(username);
        // 密码是否相等
        if (user?.password !== pass) {
          throw new UnauthorizedException();
        }
        // 结构数据库查出来的用户信息
        const { password, ...result } = user;
        // TODO: Generate a JWT and return it here
        // instead of the user object

        const payload = { username: user.username, sub: user.userId };

        return {
            access_token: await this.jwtService.signAsync(payload),
          };
        return result;
      }

}

auth.module

在 module中，我们需要 导入 user.Module 和 jwt.module 。

  • 导入user.Module 的前提，在 user 模块需要导出 service, 这样可以达到依赖注入，我们在 auth 模块可以使用 user 模块的 service
  • 导入 jwt.module 我们可以对jwt 进行配置密钥和过期时间等。
imports:[UserModule,
// 导入 jwt 模块，并对它进行配置，加入我的密钥，签名配置(过期时间等)
JwtModule.register({
  global: true,
  secret: jwtConstants.secret,
  signOptions: { expiresIn: '9999999999s' },
}),] //导入用户模块，使用它的sercice

然后再在 providers注册一个全局守卫，这样每个路由都会走验证了，如果有的路由不需要验证，可加 一个装饰器即可（后面说）

如果默认情况下应保护绝大多数终结点，则可以将身份验证保护注册为全局保护，而不是在每个控制器顶部使用 @UseGuards() 装饰器，只需标记哪些路由应该是公共的。

providers: [
  {
    provide: APP_GUARD,
    useClass: AuthGuard,
  },
],

Nest 将自动将 AuthGuard 绑定到所有端点

完整代码

import { Module } from '@nestjs/common';
import { AuthService } from './auth.service';
import { AuthController } from './auth.controller';
import { UserModule } from 'src/user/user.module';
import { JwtModule } from '@nestjs/jwt';
import { jwtConstants } from './jwt.key';
import { APP_GUARD } from '@nestjs/core';
import { AuthGuard } from 'src/guard/auth.guard';

@Module({
  providers: [AuthService, {
    provide: APP_GUARD,
    useClass: AuthGuard,
  },],
  controllers: [AuthController],
  imports:[UserModule,
    // 导入 jwt 模块，并对它进行配置，加入我的密钥，签名配置(过期时间等)
    JwtModule.register({
      global: true,
      secret: jwtConstants.secret,
      signOptions: { expiresIn: '9999999999s' },
    }),] //导入用户模块，使用它的sercice
})
export class AuthModule {}

​

创建一个守卫 Guard

为什么创建 Guard

这样我们很好的可以控制哪些路由需要验证哪些路由不需要验证。

如果大部分路由都需要验证，则注册到全局即可。

如何创建一个 Guard

我们可以通过 nest 指令 来快速创建一个 Guard

nest g gu guard/auth

每个守卫 必须实现 CanActivate类，必须实现一个canActivate()函数。此函数应该返回一个布尔值，指示是否允许当前请求。它可以同步或异步地返回响应(通过 Promise 或 Observable)。Nest使用返回值来控制下一个行为:

  • 如果返回 true, 将处理用户调用。
  • 如果返回 false, 则 Nest 将忽略当前处理的请求。

canActivate() 函数接收单个参数 ExecutionContext 实例。ExecutionContext 继承自 ArgumentsHost 。ArgumentsHost 是传递给原始处理程序的参数的包装器。

import { CanActivate, ExecutionContext, Injectable } from '@nestjs/common';
import { Observable } from 'rxjs';

@Injectable()
export class RoleGuard implements CanActivate {
  canActivate(
    context: ExecutionContext,
  ): boolean | Promise<boolean> | Observable<boolean> {
    return true;
  }
}

编写一个JWT 守卫验证

在这个JWT 守卫验证里，我们要做的事是：

  1. 验证 token 是否通过

我们可以通过 context.switchToHttp().getRequest() 拿到客户端的信息，以及是否携带token， 然后进行验证

  // 通过 请求头拿到 token
  private extractTokenFromHeader(request: Request): string | undefined {

    const [type, token] = request.headers.authorization?.split(' ') ?? [];
    // return token
    return type === 'Bearer' ? token : undefined;
  }




 // 获取请求的内容
    const request = context.switchToHttp().getRequest();

    const token = this.extractTokenFromHeader(request);

      // token 不存在，则抛出异常
    if (!token) {
      console.log("token 验证没有通过")
      throw new UnauthorizedException();
    }

    try {
      // 生成token 通过 jwtService.verifyAsync 
      const payload = await this.jwtService.verifyAsync(
        token,
        {
          secret: jwtConstants.secret
        }
      );

      request['user'] = payload;
    } catch {
      throw new UnauthorizedException();
    }

    console.log("token 验证通过啦   哈哈哈哈哈")

      //最后 放行，可以访问路由
    return true;
  1. 如果 是公开路由的路由话，直接放行，可以访问。

我们可以 通过 SetMetadata 装饰器工厂函数创建自定义装饰器

import { SetMetadata } from '@nestjs/common';

export const IS_PUBLIC_KEY = 'isPublic';
export const Public = () => SetMetadata(IS_PUBLIC_KEY, true);

这样我就拥有了一个 @Public 装饰器，当 Controller 的方法挂载上它，那么请求就无需验证了。

在守卫中，我们 可以 通过 this.reflector.getAllAndOverride 拿到哪些路由不需要验证，可以直接访问路由。

constructor(private reflector: Reflector) {}



const isPublic = this.reflector.getAllAndOverride<boolean>(IS_PUBLIC_KEY, [
    context.getHandler(),
    context.getClass(),
  ]);
  if (isPublic) {
    // 💡 See this condition
    return true;
  }

完整代码

import { CanActivate, ExecutionContext, Injectable, UnauthorizedException } from '@nestjs/common';
import { JwtService } from '@nestjs/jwt';
import { Observable } from 'rxjs';
import { jwtConstants } from 'src/auth/jwt.key';
import { Request } from 'express';
import { IS_PUBLIC_KEY } from 'src/auth/public.auth';
import { Reflector } from '@nestjs/core';

@Injectable()
export class AuthGuard implements CanActivate {



  // 实例化 jwtService
  constructor(private jwtService: JwtService, private reflector: Reflector) {}

  async canActivate(
    context: ExecutionContext,
  ): Promise<boolean> {


    const isPublic = this.reflector.getAllAndOverride<boolean>(IS_PUBLIC_KEY, [
      context.getHandler(),
      context.getClass(),
    ]);
    if (isPublic) {
      // 💡 See this condition
      return true;
    }

    // 获取请求的内容
    const request = context.switchToHttp().getRequest();
    console.log(request)
    console.log("===========")
    const token = this.extractTokenFromHeader(request);
    console.log(222222)
    console.log(token)
    console.log("===========")
    if (!token) {
      console.log("token 验证没有通过")
      throw new UnauthorizedException();
    }
    try {
      // 生成token 通过 jwtService.verifyAsync 
      const payload = await this.jwtService.verifyAsync(
        token,
        {
          secret: jwtConstants.secret
        }
      );
      // 💡 We're assigning the payload to the request object here
      // so that we can access it in our route handlers
      // console.log(payload)
      request['user'] = payload;
    } catch {
      throw new UnauthorizedException();
    }

    console.log("token 验证通过啦   哈哈哈哈哈")
    return true;
  }

  // 通过 请求头拿到 token
  private extractTokenFromHeader(request: Request): string | undefined {

    const [type, token] = request.headers.authorization?.split(' ') ?? [];
    // return token
    return type === 'Bearer' ? token : undefined;
  }

}

验证是否成功

当我们给 Controller 或者 Controller 的方法 加了 @Public装饰器，那么访问时，路由是不需要验证的，因为我们在守卫中放行了。

@Controller('auth')
export class AuthController {
    constructor(private authService: AuthService) {}

    @HttpCode(HttpStatus.OK)
    @Public()  //自定义的装饰器， 不需要token 验证
    @Post('login')
    signIn(@Body() user:UserDto) {
      return this.authService.signIn(user.username, user.password);
    }


}

请在此添加图片描述

它成功的返回了 token

当我们访问需要token 验证的路由时，如果没有携带token 的话，会没有权限访问接口

因为我们把守卫 挂载到全局了，不需要每个Controller 上挂载了

@Controller('author')
// @UseFilters(new LoggerFilterFilter())  
export class AuthorController {
  constructor(private readonly authorService: AuthorService) {}


  @Get(':id')
  findOne(@Param('id', ParseIntPipe) id: number) {
    return this.authorService.findOne(id)
  }

}

请在此添加图片描述

我们传递token，它就可以成功请求了：

请在此添加图片描述

最后，大功告成，开始CURD , Show Time !

参考文献

文章标签：
数据安全/隐私保护
前端开发
安全
算法
JSON
关键词：
JavaScript jwt
jwt验证
JavaScript验证
nest.js jwt
jwt授权
程序员海军
目录
相关文章
我是快乐的嘟嘟
|
2月前
|
JSON 安全 算法
在 Spring Boot 中验证 JWT 的详细步骤与注意事项
【10月更文挑战第18天】
我是快乐的嘟嘟
199 61
算精通
|
3月前
|
移动开发 JavaScript 前端开发
JavaScript：验证输入
【9月更文挑战第02天】
算精通
47 6
杀死一只知更鸟debug
|
3月前
|
存储 中间件 API
ThinkPHP 集成 jwt 技术 token 验证
本文介绍了在ThinkPHP框架中集成JWT技术进行token验证的流程，包括安装JWT扩展、创建Token服务类、编写中间件进行Token校验、配置路由中间件以及测试Token验证的步骤和代码示例。
杀死一只知更鸟debug
154 1
ThinkPHP 集成 jwt 技术 token 验证
邹荣乐
|
2月前
|
JavaScript
Node.js单点登录SSO详解：Session、JWT、CORS让登录更简单（二）
Node.js单点登录SSO详解：Session、JWT、CORS让登录更简单（一）
邹荣乐
49 0
邹荣乐
|
2月前
|
存储 JSON JavaScript
Node.js单点登录SSO详解：Session、JWT、CORS让登录更简单（一）
Node.js单点登录SSO详解：Session、JWT、CORS让登录更简单（一）
邹荣乐
109 0
cqtianxin1
|
3月前
|
JavaScript 前端开发 API
JavaScript 验证 API
JavaScript 验证 API
cqtianxin1
35 2
路边两盏灯
|
4月前
【Azure APIM】在APIM中实现JWT验证不通过时跳转到Azure登录页面
【Azure APIM】在APIM中实现JWT验证不通过时跳转到Azure登录页面
路边两盏灯
37 2
toddli
|
4月前
|
编解码 JavaScript 前端开发
JS逆向浏览器脱环境专题：事件学习和编写、DOM和BOM结构、指纹验证排查、代理自吐环境通杀环境检测、脱环境框架、脱环境插件解决
JS逆向浏览器脱环境专题：事件学习和编写、DOM和BOM结构、指纹验证排查、代理自吐环境通杀环境检测、脱环境框架、脱环境插件解决
toddli
138 1
土木林森
|
4月前
|
JSON 安全 数据安全/隐私保护
Python安全新篇章：OAuth与JWT携手，开启认证与授权的新时代
【8月更文挑战第6天】随着互联网应用的发展，安全认证与授权变得至关重要。本文介绍OAuth与JWT两种关键技术，并展示如何结合它们构建安全系统。OAuth允许用户授权第三方应用访问特定信息，无需分享登录凭证。JWT是一种自包含的信息传输格式，用于安全地传递信息。通过OAuth认证用户并获取JWT，可以验证用户身份并保护数据安全，为用户提供可靠的身份验证体验。
土木林森
56 6
白雾茫茫丶
|
4月前
|
JSON 数据安全/隐私保护 数据格式
Nest.js 实战 (八)：基于 JWT 的路由身份认证鉴权
这篇文章介绍了身份验证的重要性和多种处理策略，重点放在了JWT（JSON Web Token）认证在Nest.js框架中的应用。文章包含了JWT认证的流程，如何在Nest.js中实现，以及如何创建JWT认证策略。包括了安装依赖，创建处理认证流程的文件，以及如何使用HttpException过滤器来处理未登录访问。
白雾茫茫丶
234 0
Nest.js 实战 (八)：基于 JWT 的路由身份认证鉴权

热门文章

最新文章

  • 1
    为什么 JavaScript 会在移动端中胜出？
  • 2
    JavaScript入门
  • 3
    JS的正则表达式1
  • 4
    JavaScript基础知识
  • 5
    node.js入门学习
  • 6
    JFinal 参数校验插件扩展，让后台参数校验像js一样方式好用
  • 7
    前端 时间个性化 插件 jquery.timeago.js
  • 8
    《JavaScript启示录》——1.6 从构造函数创建字面量值
  • 9
    JS isNaN()函数
  • 10
    Javascript生成GUID
  • 1
    SpringCloudAlibaba:4.3云原生网关higress的JWT 认证
    131
  • 2
    SpringBoot之JWT令牌校验
    210
  • 3
    切图仔做全栈：React&Nest.js社区平台(一)——基础架构与邮箱注册、JWT登录实现
    157
  • 4
    Serverless 应用引擎产品使用之阿里函数计算中要关掉http触发器的jwt认证才可以进行性能探测如何解决
    70
  • 5
    【专栏】四种REST API身份验证方法：基本认证、OAuth、JSON Web Token（JWT）和API密钥
    878
  • 6
    pyjwt，一个强大的 Python JWT解析校验库！
    181
  • 7
    node实战——后端koa结合jwt连接mysql实现权限登录（node后端就业储备知识）
    121
  • 8
    使用JWT的服务分布式部署之后报错：JWT Check Failure:
    118
  • 9
    微服务之Springboot整合Oauth2.0 + JWT
    188
  • 10
    ❤Nodejs 第九章（token身份认证和express-jwt的安装认识）
    121

    • 相关课程

    更多
  • JavaScript入门与实战
  • JavaScript 自学手册文档教程

    • 相关电子书

    更多
  • JavaScript面向对象的程序设计
  • Delivering Javascript to World
  • 编程语言如何演化-以JS的private为例

    • 相关实验场景

    更多
  • Html5和Webpack2：Webpack5打包JS和样式表
    • 下一篇
    DataWorks售前咨询