在不实施自定义身份验证方案或解析令牌的情况下从令牌头中删除“承载者”？

Question

目前正在使用一个JWT身份验证模式，其中令牌在模式中有“Bearer:Bearer”。是否可以删除“Bearer:Bearer”前缀，这样我就不需要在客户端添加它，以便在后端再次解析它？有没有一种方法可以做到这一点，而无需实现自定义方案（因此仍然使用Bearer scheme），也无需解析“Bearer:Bearer:Bearer:的实际令牌“短信？

现在，代码如下所示：

var token = req.headers.authorization;
var newToken = token.replace("Bearer ", "");
jwt.verify(newToken, jwtSecret, function (err, success) {
 if (err) {
  return res.
          status(401).
          end('Unauthorized, invalidtoken');
 } else {
  return next();
 }
})

理想情况下，它将按如下方式实施：

var token = req.headers.authorization;
jwt.verify(token, jwtSecret, function (err, success) {
 if (err) {
  return res.
          status(401).
          end('Unauthorized, invalidtoken');
} else {
  return next();
}
})

这样行吗？从jwt授权头中删除“承载人”意味着什么？

谢啦

Answer 1

在格式化请求头时，删除承载令牌与删除承载令牌没有编程上的区别。如果你选择这样做，你就违反了RFC和HTTP标准。这就像在GET响应中发送有效负载并将数据保存到数据库一样。

使用源自Oauth设计的无记名代币，因此请查看此处的标准。