访问令牌与刷新令牌NodeJS

Question

我不熟悉jwt，它代表JSON Web令牌。我混淆了它的两个术语：访问令牌和刷新令牌。

1. 用户注册/登录站点后，我创建访问令牌和刷新令牌。
2. 将刷新标记保存在数据库或cookie中。
3. 15分钟后，用户标记访问令牌过期。
4. 如果用户空闲2小时，我将从cookie或DB中删除刷新令牌，否则我将使用刷新令牌续订访问令牌。

有什么优化的方法可以达到这个目的吗？

Answer 1

首先，你需要理解JWT的原理，以及它们是如何在服务器和客户机之间传递的，以及如何在服务器端匹配一个秘密--下面是文档

有效载荷可以是任意的用户数据--即：只需一个usrname或id

基本上，您需要一个服务在成功的身份验证（当用户使用正确的凭据登录时，即:usr&pwd)生成令牌，并用令牌创建一个额外的标头，以便在对服务器的进一步请求中使用。

 // INFO: Function to create headers, add token, to be used in HTTP requests
  createAuthenticationHeaders() {
    this.loadToken(); // INFO: Get token so it can be attached to headers
    // INFO: Headers configuration options
    this.options = new RequestOptions({
      headers: new Headers({
        'Content-Type': 'application/json', // INFO: Format set to JSON
        'authorization': this.authToken // INFO: Attach token
      })
    });
  }

  // INFO: Function to get token from client local storage
  loadToken() {
    this.authToken = localStorage.getItem('token');; // Get token and asssign to 
variable to be used elsewhere
  }

 // INFO: Function to store user's data in client local storage
 storeUserData(token, user) {
   localStorage.setItem('token', token); // INFO: Set token in local storage
   localStorage.setItem('user', JSON.stringify(user)); // INFO: Set user in local 
  storage as string
      this.authToken = token; // INFO: Assign token to be used elsewhere
      this.user = user; // INFO: Set user to be used elsewhere
    }

和注销函数，用于销毁本地存储中的令牌，即：

 // INFO: Function for logging out
 logout() {
this.authToken = null; // INFO: Set token to null
   this.user = null; // INFO: Set user to null
   localStorage.clear(); // INFO: Clear local storage
 }

如果使用NPM的jsonwebtoken，则可以在生成令牌时设置令牌的ttl：

const token = jwt.sign({ id: idDB }, "secret", { expiresIn: '24h' }); 

或者您想要的任何ttl，字符串“secret”指的是与服务器匹配的秘密。

顺便说一句：如果我没有理解错的话，你的第3和第4点是相互矛盾的…

在第4种情况下，如果你正确地执行了第3种逻辑，它将在15分钟内被摧毁