使用JWT保护一个安全的API验证客户端

Question

我有一个使用JWT进行身份验证的RESTful API。我从客户端收到的第一个调用是 /login调用，具有以下有效负载（没有标头）

{
     "username" : xxxx,
     "password": wwww
}

服务器验证用户是否已注册，然后将签名的JWT返回给客户端，以便在下一次调用中接收。

我想知道这是否足够安全。我不会在任何地方检查客户端是否向我发送了客户端id/客户端密码（如在OAuth中），因此我无法验证此调用是否来自我的webapp/应用程序，或者是否是我不知道的外部客户端。我想知道使用JWT实现这个行为是否有意义，以及如何实现它。

（我知道如何使用OAuth2进行操作，但我现在不想从JWT身份验证转移）

非常感谢。

Answer 1

我想我找到了另一个回答我的Stackoverflow问题： JWT（Json网络令牌）观众“aud”和Client_Id——有什么区别？

简而言之，client_id和client_secret应该在发送新的JWT令牌之前发送到服务器进行验证。

Answer 2

如果我理解正确，您应该创建一个类似于以下的函数：

function verify(req, res, next) {
   const token = req.header('x-auth-token');

   if (!token) {
       return res.status(401).json({
           msg: 'No token, auth denied'
       });
  }

   try {
       const decoded = jwt.verify(token, config.get(YOUR_SECRET_GOES_HERE));
       req.user = decoded.user;
       next();
   } catch (err) {
       res.status(401).json({
           msg: 'Token is not valid'
       });
   }
}

对于所有受保护的APIendpoint，您应该这样应用它：

router.get('/anyuserinfo', verify, (req, res) => ... 

就是这样。如果未提供令牌，函数将发送401响应。