node.js - REST API 和移动应用的身份验证策略

Question

我正在使用 Node.js 和 Express + MongoDB 创建一个 REST API 服务器。此 API 将有不同的移动客户端(iOS、Android)，以后可能还会有一个 Web 应用程序。我需要用户登录才能执行一些 API 请求。没有我想连接的第 3 方应用程序(没有 Facebook、Google 等)。我也不想强制用户访问网页或类似的东西以便他们登录。

从我在 SO 上的多次搜索中看到的，最好的方法是让用户使用完整凭据登录一次，向他们发送一个 token 作为返回，然后使用该 token 验证 future 的请求，直到它过期。

但是，我不确定如何实现这一点。我对所有不同的策略感到非常困惑。这是通过 HTTPS、OAuth、OAuth 2.0、... 的基本身份验证完成的吗？我只是不知道该用什么。还有，我真的不想在这里重新发明轮子，不是因为我懒，主要是出于安全考虑。有没有我可以用来实现这个的库？我听说过 Passport，但我不明白这是否可行。这听起来像是一个通用的东西，我敢肯定那里有一个简单的解决方案。

谢谢!

Answer 1

现在您可以使用 Passport.js使用 JWT(JSON Web token )和 Passport-JWT .它很容易使用。

一旦用户登录，您将向该用户发送一个 token 。 token 包含有关用户的数据，例如 id(当然是编码的)。在随后的请求中(至少在需要身份验证的情况下)，您确保客户端发送 token 。在服务器上，您只需查看 token 即可查看谁发送了请求(例如检查用户的授权)。有关 JWT 如何工作的更多信息 check this out .

有不同的方式来发送 token 。看看文档就清楚了。如果没有，this也帮助了我。