基本认证和JWT

Question

我目前正在运行一个Node.js应用程序，有一个应用程序接口和文件服务（我知道nginx可以处理它，但我一开始不应该使用它）。

我只是用它来做一个简单的基本认证，碰巧没那么简单。

这是我的nginx配置：

  upstream nodejsapp {
    server 127.0.0.1:1337;
    keepalive 15;
  }

  server {
    listen 80 default_server;

    auth_basic "Restricted";
    auth_basic_user_file /etc/nginx/.htpasswd;
    proxy_redirect off;

    location / {
      proxy_pass http://nodejsapp;

      proxy_set_header Connection "Keep-Alive";
      proxy_set_header Proxy-Connection "Keep-Alive";
      proxy_set_header X-Real-IP $remote_addr;
      proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
      proxy_set_header Host $http_host;
      proxy_set_header X-NginX-Proxy true;
    }
  }

/etc/nginx/. htpasswd文件只是user：加密密码，很好。

使用此配置，当我转到我的IP时：

• 询问我用户和密码
• 开始加载页面
• （有时）再次询问用户和密码
• 完成以加载页面

到目前为止还不错，即使它问了两次密码。

Node.js应用程序具有JWT身份验证，当我登录时，网站会重新加载，从这里开始，只要我单击登录，它就会无限期地询问用户和密码（基本身份验证）。JWT 位于我的本地存储中。如果我在基本身份验证提示上单击取消，JWT 将被删除，并且我已注销，并且它...再次询问基本身份验证。

这是在浏览器上。使用火狐浏览器和 Safari 浏览器，在 JWT 日志记录后，它会自动从本地存储中删除令牌（并且我已注销）。

这很难解释，我也不能给你看网站。简而言之，主要问题是(node.js应用的)JWT被删除了。

Answer 1

当我意识到问题出在基本授权和JWT之间的冲突(正如@好奇在建议中指出的)，并且它们都使用< code>Authorization头时，解决方案就很简单了。

我将前端应用程序配置为通过自定义标头 **JWT 授权**发送 JWToken，因此当请求到达服务器时，它包含两个标头授权

app.use(function *(next) {
  this.headers.authorization = this.headers.jwtauthorization;
  yield next;
});