Token（令牌）是一種用于在客戶端和服務器之間安全傳輸信息的加密字符串。在Web開發中，Token常用于身份驗證和授權，確保用戶能夠安全地訪問受保護的資源。

作用與意義

1. 身份驗證：Token可以用來驗證用戶的身份，確保用戶已經通過認證流程。
2. 授權：通過Token，服務器可以識別用戶的權限，從而允許或拒絕訪問特定的資源。
3. 狀態管理：在無狀態（stateless）的API設計中，Token可以攜帶用戶的狀態信息，而不需要在服務器端存儲會話數據。
4. 安全性：Token通常包含加密信息，可以有效防止CSRF（跨站請求偽造）和XSS（跨站腳本攻擊）等安全威脅

在Node.js中生成與驗證Token

在Node.js中，常用的庫是jsonwebtoken（JWT），它提供了一種簡單的方式來生成和驗證JSON Web Tokens。

安裝依賴

首先，你需要安裝jsonwebtoken庫：

npm install jsonwebtoken

生成Token

下面是一個生成Token的示例：

const jwt = require('jsonwebtoken');
// 秘鑰（請確保在實際應用中妥善保管）
const secretKey = 'your_secret_key';
// 用戶數據（可以包含用戶ID、用戶名等信息）
const userData = {id: 1,username: 'exampleUser'
};
// 生成Token
const token = jwt.sign(userData, secretKey, { expiresIn: '1h' }); // 1小時后過期
console.log('Generated Token:', token);

驗證Token

下面是一個驗證Token的示例：

const jwt = require('jsonwebtoken');
// 秘鑰（與生成Token時使用的秘鑰相同）
const secretKey = 'your_secret_key';
// 假設這是從客戶端接收到的Token
const receivedToken = 'your_received_token_here';
jwt.verify(receivedToken, secretKey, (err, decoded) => {if (err) {// Token無效或已過期console.error('Token is invalid or expired:', err.message);return;}// Token有效，decoded包含生成Token時傳遞的用戶數據console.log('Decoded Token:', decoded);// 在這里處理用戶請求，例如根據decoded.id獲取用戶信息
});

完整過程示例

下面是一個完整的示例，包括生成Token和驗證Token的過程：

const express = require('express');
const jwt = require('jsonwebtoken');
const bodyParser = require('body-parser');
const app = express();
const port = 3000;
// 秘鑰（請確保在實際應用中妥善保管）
const secretKey = 'your_secret_key';
// 中間件：解析JSON請求體
app.use(bodyParser.json());
// 路由：生成Token
app.post('/login', (req, res) => {const { username, password } = req.body;// 在這里進行用戶名和密碼的驗證（示例中省略）// 假設驗證成功，生成Tokenif (username === 'exampleUser' && password === 'examplePass') {const userData = {id: 1,username: 'exampleUser'};const token = jwt.sign(userData, secretKey, { expiresIn: '1h' });res.json({ token });} else {res.status(401).json({ message: 'Invalid credentials' });}
});
// 路由：受保護的資源
app.get('/protected', (req, res) => {const token = req.headers['authorization'] && req.headers['authorization'].split(' ')[1];if (!token) {return res.status(401).json({ message: 'No token provided' });}jwt.verify(token, secretKey, (err, decoded) => {if (err) {return res.status(403).json({ message: 'Token is invalid or expired' });}// Token有效，返回受保護的數據res.json({ message: 'Welcome to the protected route', user: decoded });});
});
app.listen(port, () => {console.log(`Server is running on http://localhost:${port}`);
});

使用方法

1、啟動服務器：

node app.js

2、使用POST請求訪問/login路由，提供用戶名和密碼（示例中為exampleUser和examplePass），獲取生成的Token。

3、使用GET請求訪問/protected路由，并在請求頭中提供Authorization字段，值為Bearer加上空格再加上Token。