响应标头中未设置 JWT 令牌

Question

我有以下函数，它通过创建响应标头来验证用户：

function authenticateUser(res, id) {
    const payload = {
        id
    }
    const token = jwt.sign(payload, config.JWT_KEY, {
        expiresIn: '24h'
    })
    res.set('authorization', token)
    res.redirect('/user/profile')
    res.end()
}

但是，当我重定向到 /user/profile 时，它会为授权标头输出未定义：

controller.checkAuthorizaion = (req, res, next) => {
    const token = getJWTToken(req)
    console.log(token);
    if(!token) 
        Router.redirect(res, '/', 401)
    else {
        jwt.verify(token, config.JWT_KEY, (err, data) => {
            if(err)
                Router.redirect(res, '/', 401)
            else  {
                res.userId = data.id
                next()
            }
        })
    }
}

为什么它不起作用？如何将我的 jwt 令牌发送回客户端？我以为 jwt.sign（） 会自动发送它。

Answer 1

>

授权是一个请求标头。它不应该在响应中使用，我认为大多数浏览器都会在响应中忽略此标头。

您正在向浏览器发送重定向响应。浏览器读取该响应，并向 /user/profile 终结点发送新请求。浏览器不会自动将授权标头添加到您的请求中。

如果将原始请求作为 AJAX 调用发送，则必须确保您使用的客户端（例如 axios）在将另一个请求发送到重定向到的终结点之前从响应中读取授权标头。我还没有检查过，但我很确定像 axios 这样的 JS 客户端会忽略响应中的授权标头，并且不会自动将其复制到另一个请求中。

除此之外，@Anatoly有一些关于调用异步函数的有效观点，所以也看看。

如何将我的 jwt 令牌发送回客户端？我以为 jwt.sign（） 会自动发送它。

通常，您在响应正文中发送令牌，并让您的客户端读取正文并将令牌存储在某个地方 - 内存、本地存储等中。另一种解决方案是将令牌存储在 cookie 中，但这仅在您已经拥有使用该令牌调用的后端时才有效。（如果您确实拥有后端，那么实际上使用访问令牌是没有意义的。你可以只使用普通的HTTP会话。

Answer 2

如果你使用jsonwebtoken，那么你需要调用它作为异步函数或提供一个回调：

async function authenticateUser(res, id) {
    const payload = {
        id
    }
    const token = await jwt.sign(payload, config.JWT_KEY, {
        expiresIn: '24h'
    })
    res.set('authorization', token)
    res.redirect('/user/profile')
    res.end()
}

getJWTToken（req） 也应该被称为异步的：

controller.checkAuthorizaion = async (req, res, next) => {
    const token = await getJWTToken(req)
    console.log(token);

当然，在getJWTToken中：你也应该调用jwt.verify作为异步函数。