RESTful框架中如何集成JWT進行身份驗證

在RESTful框架中集成JWT（JSON Web Token）進行身份驗證，通常需要以下幾個步驟：

1. 安裝和引入JWT庫：根據你使用的編程語言和框架，選擇一個合適的JWT庫。例如，在Node.js的Express框架中，可以使用jsonwebtoken庫。

2. 創建JWT簽名：當用戶登錄成功時，生成一個JWT令牌。這個令牌需要包含用戶的身份信息（如用戶ID）和其他相關數據。在創建令牌時，需要設置一個密鑰（secret key）和過期時間。

3. 發送JWT令牌：將生成的JWT令牌發送給客戶端，通常將其放在HTTP響應的頭部（如Authorization字段）或者作為響應體的一部分發送給客戶端。

4. 存儲JWT令牌：客戶端收到JWT令牌后，需要將其存儲起來（如使用localStorage或者cookie）。之后，客戶端在每次發起請求時都需要將此令牌放在請求頭部（如Authorization: Bearer<token>）。

5. 驗證JWT令牌：在RESTful框架中，需要創建一個中間件或者攔截器來驗證客戶端發來的JWT令牌。這個中間件會檢查請求頭部的Authorization字段，提取出JWT令牌，然后使用密鑰（secret key）進行解密驗證。如果驗證成功，說明客戶端身份有效，可以繼續處理請求；如果驗證失敗，則返回一個錯誤響應。

6. 獲取用戶信息：在驗證成功后，可以從JWT令牌中提取用戶信息，如用戶ID。然后，可以根據這些信息獲取用戶的詳細信息，并將其存儲在請求對象中，以便后續的處理器使用。

7. 可選：刷新JWT令牌。如果需要，可以實現一個刷新令牌的機制，以便在JWT令牌過期前重新生成一個新的令牌。

下面是一個使用Node.js的Express框架和jsonwebtoken庫實現JWT身份驗證的示例：

const express = require('express');
const jwt = require('jsonwebtoken');

const app = express();
const secretKey = 'your-secret-key';

// 模擬用戶登錄
app.post('/login', (req, res) => {
  // 驗證用戶名和密碼（此處省略）
  const userId = 1; // 假設已驗證用戶ID

  // 生成JWT令牌
  const token = jwt.sign({ userId }, secretKey, { expiresIn: '1h' });

  // 發送JWT令牌給客戶端
  res.json({ token });
});

// 驗證JWT令牌的中間件
function authenticateToken(req, res, next) {
  const authHeader = req.headers['authorization'];
  const token = authHeader && authHeader.split(' ')[1];

  if (!token) return res.sendStatus(401);

  jwt.verify(token, secretKey, (err, user) => {
    if (err) return res.sendStatus(403);
    req.user = user;
    next();
  });
}

// 使用中間件保護需要身份驗證的路由
app.get('/protected', authenticateToken, (req, res) => {
  res.send('This is a protected route. Welcome, user ' + req.user.userId);
});

app.listen(3000, () => console.log('Server running on port 3000'));

這個示例中，我們創建了一個登錄接口，用于生成JWT令牌。然后，我們創建了一個中間件authenticateToken來驗證客戶端發來的JWT令牌。最后，我們使用這個中間件保護了一個需要身份驗證的路由。