在Rest API中用Facebook维护Express和NodeJS中JWT的密钥和访问令牌

Question

我有两份申请：

null

null

这就是流在我的应用程序中的工作方式：

>

Angular客户端有一个登录按钮

用户单击按钮>Facebook Auth启动

客户端接收user_id和FB访问令牌

客户端在'http://Server.com/auth/login'将user_id和访问令牌发送[POST json body]到Node+Express服务器

节点服务器已将express-jwt应用于除/auth/login以外的所有路由，并使用

var expressJwt=require('express-jwt')；

var jwt=require('JSONWebToken')；

app.use（expressjwt（{secret:''}）.除非（{path:['/auth/login']}））；

节点服务器从req.body接收数据，使用JavascriptSDK从facebook获取所有配置文件细节，并使用

var token=expressjwt.sign（{profile},）；

现在，我的问题是：

1. 我真的需要将JWT令牌存储在数据库中吗？我当然没有将请求头中的令牌与数据库进行比较
2. 是否需要在每次登录时生成随机密钥以确保安全？如果是，那么如何同时适用于客户机和服务器？
3. 何时何地需要检查令牌过期？如何刷新它？

我对设计流程和机制有点迷茫。

Answer 1

公元1年。您不必将JWT存储在数据库中。用户ID可以是有效负载的一部分，因此不需要它。

公元2年。服务器端应用程序通常使用一个密钥来生成所有JWT。

公元3年。检查令牌是否已过期的每个请求到您的API和禁止访问，如果令牌已过期，返回401状态代码。客户端应用程序应该提示用户凭据和请求新的JWT。如果希望避免用户重新提交凭据，可以发出刷新令牌，以后可用于生成新的JWT。

JWT刷新令牌流

http://bitoftech.net/2014/07/16/enable-oauth-refresh-tokens-angularjs-app-using-asp-net-web-api-2-owin/