在现代Web应用开发中，身份验证和授权是建立安全程序的基石。其实，因为网络安全威胁日益增多。传统的单一Token机制已无法满足高安全性的需求。

JWT协议基础

什么是JWT？

JWT是一种开放标准。定义了一种紧凑且自包含的方式，用于在各方之间安全地传输信息作为JSON对象。这种信息可以和信任，

JWT通常由三部分组成：

• Header: 包含令牌类型和签名算法
• Payload: 包含声明
• Signature: 用于验证消息完整性

NestJS中的JWT实现

// 安装必要的包npm install @nestjs/jwt @nestjs/passport passport passport-jwt// JWT服务配置@Module({
imports:。providers:,})export class AuthModule {}

从单Token到双Token架构

为什么要使用双Token机制？

传统的单Token架构存在以下安全风险：

• Token劫持风险一旦Token被中间人捕获，攻击者可以在整个有效期内进行恶意操作
• 长时间暴露如果Token有效期设置较长。安全风险相应增加
• 无法灵活控制难以实现细粒度的权限管理

双Token设计模式

// Token配置const ACCESS_TOKEN_EXPIRES_IN = '15m';// 15分钟const REFRESH_TOKEN_EXPIRES_IN = '7d';话说回来，// 7天interface TokenPair {
accessToken: string;refreshToken: string;}

Access Token

• 有效期短
• 用于日常API请求的身份验证
• 即使被劫持，影响范围有限

Refresh Token

• 有效期长
• 仅用于刷新Access Token
• 存储在安全位置

实战这方面。双Token生成与验证

Token生成服务

@Injectableexport class AuthService {
constructor(
private jwtService: JwtService,private userService: UserService,) {}
async login: Promise{
// 验证使用者凭据
const user = await this.validateUser;老实说，if {
throw new UnauthorizedException;}
// 生成Token对
const payload = {
从sub来看。user.id.toString,name: user.name
};const = await Promise.all();// 存储Refresh Token
await this.storeRefreshToken;return {
accessToken,refreshToken
};}
async refreshTokens: Promise{ try { // 验证Refresh Token const payload = await this.jwtService.verifyAsync(refreshToken。{
至于secret，process.env.JWT_SECRET
});// 验证令牌类型 if { throw new UnauthorizedException;按理说，} // 检查令牌是否在数据库中存在 const isValid = await this.validateStoredRefreshToken;if { throw new UnauthorizedException;} // 生成新的令牌对 const newPayload = {
从sub来看。payload.sub,name: payload.name
};const = await Promise.all();// 更新存储的 Refresh Token
await this.updateRefreshTokente;return{
access_token :newAccess_token,refresh_token:newRefresh_token
};
}catch{throw new UnauthorizedException;老实说，}}}

JWT策略配置

@Injectableexport class JwtStrategy extends PassportStrategy {
constructor{super({
jwtFromRequest :ExtractJwt.fromAuthHeaderAsBearerToke。ignoreExpiration:false,secretOrKey:this.configservice.get,});}async validate{if{
throw new UnauthorizedException;}
return{
userId :parseInt。username :payload.name,};}}

Guard机制：路由保护的守护者

UseGuards装饰器

@Controllerexport class PostsController{constructor{}@UseGuards//应用jwt守卫@Postasync createPostcreatePostDto :
CreatePostDto,@Reqreq){returnthis.postsServ ic e.createpost;}@UseGuards@Get
async getPostsreq){returnthis.postsServ ic e.getUserPosts;}}

自定义jwt守卫

@Injectable exportclass JwtauthGuard extends Authguard{canActivate(context:
ExecutionContext){
return super.canActivate;}handleRequest{
if{
throw err||new UnauthorizedExcpetion(
'鉴权失败',);}
return user;}}

客户端集成的观点是。axios请求拦截器

请求拦截器

// axios 配置
const apiClient=axios.create({
baseurl:'/api',});// 请求拦截器：自动添加 Access token
apiClient.interceptors.request.use(
=>{
const token=localStorage.getItem;if{
config.headers.Authorization=`Bearer ${token}`;}
return config;},=>{
return Promise.reject;}
// 响应拦截器处理 token过期
apiClient.interceptors.response.use(
=>response,async =>{
const originalRequest=
error.config;if{
originalRequest._retry=true;try{
const refreshtoken=
localStorage.getItem;const response=
await axios.post('/auth/refresh',{
refreshtoken
});const{accesstoken}=response.data;localStorage.setItem;originalRequest.headers.Authorization=`Bearer ${accesstoken}`;return apiClient;}catch{
localStorage.removeItem;localStorage.removeItem;其实，window.location.href="/login";话说回来，returnPromise.reject;}
}
returnPromise.reject;})，

从错误处理来看。优雅异常响应

NestJS 内置异常类

Bad Request Exception -请求参数错误

Unauthorized Exception - 未授权

Forbidden Exception - 禁止访问

Not Found Exception -资源不存在

Internal Server Error Exception -服务器内部错误

此段代码已省略，为了保持整体结构完整性而未完全展开。