NodeJS（Express框架）实现 Token 验证免密登录 (一)
看文章之前，强烈建议先把项目拉取下来！案例来自小弟的开源项目 「项目Github」
文章内容只是个人学习的一些总结经验，不具有权威性，这是 Node 服务端的实现，后面会写前端的实现
常见的 Token 验证方式种:
推荐阅读：
JWT 超详细分析
说一说几种常用的登录认证方式，你用的哪种
推荐阅读：
JSON Web Token 入门教程
JSON Web Token - 在Web应用间安全地传递信息
首先我们先安装 jsonwebtoken 和 express-jwt 这两个中间件
jsonwebtoken : 用于生成 Token 。它也有解析 Token 的功能
express-jwt : 用于解析 Token（比 jsonwebtoken 解决方便） , 它把解析之后的数据，存放到 requset.user 中
如果你看了上面 JWT 介绍的文章，就知道 JWT 是由三部分组成的，分别是 载荷(Payload) 、 头部(Header) 、 签名(Signature) 。
jsonwebtoken 给我们提供了 sign(payload, secretOrPrivateKey, [options, callback]) 方法。sign 方法对应的其实就是 JWT 签名(Signature) 的动作
payload：荷载 ，参数类型：对象secretOrPrivateKey：自定义的密钥，密钥属于敏感信息。参数类型：字符串options：可以配置 header 、荷载、指定算法类型。参数类型：对象callback：回调
眼尖的朋友应该发现， payload 和 options 两个 参数 都可以配置荷，下面有例子。根据自己的习惯选择就好
Payload 部分 JWT 规定了7个官方字段,这些字段都是可选字段。可直接以对象的形式传给 payload 参数。
options 中也可以接受以上七个字段，不过字段名称有所区别。
除此之后 options 提供了 algorithm 和 header ，分别对应使用的加密算法和 JWT 的 Header 部分，其实 algorithm 应该也是属于 Header 部分的。
说了这么多，其实我们一般常用的只有 exp(expiresIn) 和 algorithm 这两个字段，
例子一：
token 的有效时间是配置在 option 里
例子二：
我们也可以在 payload 里配置有效时间
jsonwebtoken 除了生成 token 外，还提供了解析验证 token 的方法， jwt.verify(token, secretOrPublicKey, [options, callback]) 。
这里就不演示了， 感兴趣的朋友可以参考文档： 「JsonWebToken」
express-jwt 是针对 express 框架开发的 JWT Token 验证中间件。我先来简单说以下它的用法。
主要有两种方式，一种是哪些请求需要验证就往哪里加验证；另外一种是先给全部请求加上验证，再给不需要验证的请求配置 白名单 。
方式一：
看完上面的例子，很显然不符合我们的逾期，一个正常的项目有个几十个 api 是分分钟的事。我们不可能一个个给他加上检验
方式二：
这种方式是不是方便很多，而且更美观，维护起来也更方便
Token 解析出来的用户信息，默认存放在 req.user , 可以直接 req.user.userId 来使用生成 Token 时填进去的用户id
你也通过 requestProperty 和 resultProperty 来设置用户信息存放的对象。
这里就不展开，详细文档参考： express-jwt
可以使用 app.use() 来注册处理验证不通过的情况
到这里 Token 的生成、验证、检验不通过错误处理就完成了。 Token 生成一般是在登录之后生成，并返回给前端，前端拿到 Token ,并在每次请求 api 的时候携带上 Token , Token 就相当于这个用户的身份，不要轻易泄露。
Token一旦签发，不能主动让它失效，只能等待它有效期过才能失效。也就是说就算你修改了密码，之前的 Token 也还是有效的。你可以修改后端生成 Token 时使用的密钥，不让之前的 Token 检验通过，但是这就表示之前所有生成 Token 都失效了，做不到针对某个用户进行注销。这显然也不合适的。 所以用户修改密码时，前端一般都要清除之前保存的 Token,再重获取新的 Token
有朋友应该会想到在后端把 Token 储存起来，每一个用户对应一个 token。修改账号时，再生成一个新的 Token 覆盖之前的 Token，但这就违背了使用 Token 的目的，Token 的使用很大程度就为了减少服务器的压力。把尽可能多的信息存储在客户端而不是服务端。
使用 Token 可以防御 CSRF 攻击，之前写过一篇关于网络安全的文章，感兴趣的朋友可以看一下 「XSS 攻击、CSRF 攻击、SQL 注入、流量劫持（DNS 劫持、HTTP 劫持）—— 浏览器安全」
购物网站前后端交互后端用node框架可以吗
可以。
购物网站前后端交互后端可以用node框架，因为node框架在性能上很优越，为前后端分离量身定制。
node框架是一个应用程序框架，有时也被称为运行环境，通过它，应用程序可使用JavaScript编程语言来构建。
node编程开发技术的发展趋势？
node技术成为web前端领域的主流开发工具可以说本身就是一个美丽的误会，当初这个技术被开发出来使用的时候主要是为了解决后端的问题才出现的。今天，霍营java课程培训机构就一起来了解一下node技术的发展历程和未来的发展趋势。
a)Node8进入LTS时代
Node.js大的变化是进入Node8时代，它是一个稳定的长期支持版本(LTS)，除了性能提升外，还有以下几个要点。
Async/Await支持。其实在Node.jsv7.6就可以通过flag支持了，在node8里直接落地。通过Async函数可以更好的进行异步流程控制，远离CallbackHell。在Async函数里，你可以通过await调用Promise，以及通过co包裹的generator，可以说，向前是完美的Async函数，向后也完美兼容各种遗留代码，称为异步终极解决方案不为过。
ES6模块支持。通过vue/react、webpack、babel和typescript等火爆发展，es6模块得到了广泛普及和应用，在Node.jsv8.5可以通过--experimental-modules来开启这个体验版特性。当然，你想在Node.js更早版本里使用ES6模块，可以采用@std/esm模块。
HTTP2支持。在Node.jsv8.8就开始默认启用了，http2对服务器端推送，多通道复用等特性，能够更好地为浏览器便利，是性能优化的利器。
b)企业级Web开发
基础框架除了应用广泛的主流Web框架Koa外，Fastify也是一直劲敌，作者MatteoCollina是Node.js核心开发，Stream掌门，性能优化专家。Fastify基于Schema优化，对性能提升极其明显。狼叔认为这是企业级Web开发，他在这里给我们介绍了3个知名框架。
b1)Egg.js
阿里开源的企业级Node.js框架Egg发布2.0，基于Koa2.x，异步解决方案直接基于AsyncFunction。框架层优化不含Node8带来的提升外，带来30%左右的性能提升。
Egg采用的是『微内核+插件+上层框架』模式，对于定制，生态，快速开发有明显提升，另外值得关注的是稳定性和安全上，也是极为出色的。
b2)Nest
Nest是基于TypeScript和Express的企业级Web框架。
很多人开玩笑说，Nest是像Java开发方式的，确实，Nest采用TypeScript作为底层语言，TypeScript是ES6超集，对类型支持，面向对象，Decorator(类似于Java里注解Annotation)等支持。在写法上，保持Java开发者的习惯，能够吸引更多人快速上手。
TypeScript支持几乎是目前所有NodeWeb框架都要做的头等大事，在2017年Nest算个知名项目，值得一提。
b3)ThinkJS
ThinkJS是一款拥抱未来的Node.jsWeb框架，致力于集成项目佳实践，规范项目让企业级团队开发变得更加简单，更加高效。秉承简洁易用的设计原则，在保持出色的性能和至简的代码同时，注重开发体验和易用性，为WEB应用开发提供强有力的支持。
ThinkJS是国产老牌Web框架，在2017年10月发布v3版本，基于Koa内核，在性能和开发体验上有更好的提升。
整体来看，Node.js在企业Web开发领域日渐成熟，无论微服务，还是Api中间层都得到了非常好的落地。2017年，唯一遗憾的是Node.js在servless上表现的不太好，相关框架实践偏少。
c)不可不见的Api中间层
前端越来越复杂，后端服务化，今日的前端要面临更多的挑战。一个典型的场景就是在服务化架构里，前端面临的头痛的问题是异构API，前后端联调的时候，多个后端互相推诿，要么拖慢上线进度，要么让前端性能变得极其慢。进度慢找前端，性能差也找前端，但这个锅真的该前端来背么?
Node.js的Api中间层应用很好地解决了这个问题。后端不想改的时候，实在不行就前端自己做，更灵活，更能应变。
透传接口，对于内网或者非安全接口，可以采用中间层透传。
聚合接口，对异构API处理非常方便，如果能够梳理model，应变更容易。
Mock接口，通过Mock接口，提供前端开发效率，对流程优化效果极其明显，比如去哪儿开发的yapi就是专门解决这个问题的。
除此之外，前端如果想做一些技术驱动的事儿，SSR(服务器端渲染)和PWA(渐进式Web应用)也是非常不错的选择。
d)新领域(深度学习、区块链等)
如何选择Node.js Web开发框架
Node.js非常适用于Web开发，但是现在无论是一个网站，还是Web App都已经成为包括很多不同部分，如前端、数据库、业务模块、功能模块等等的大型项目，使用Node.js从零开始进行Web开发，也许大中型团队能够 胜任，但对于个人和小型团队来说是不现实的。这时候框架就成为Web开发利器，对于个人开发来说几乎是必不可少。那么如何选择Node.js Web开发框架呢？
首先，我们必须要弄清楚的是，我们需要的是——
程序 or 框架？
程序是已经成型的应用，你需要的是为它搭建环境、添加配置，然后就可以运行起来；框架则是应用的骨架，你需要为它添加数据模型、业务逻辑，它才能成为应用，开始提供服务。
事实上，对于Web开发来说，程序和框架的区别正越来越模糊，比如几乎妇孺皆知的Wordpress，它是一个博客程序，但它丰富的插件以及高度的 自定义能够支持很大程度上的二次开发，在这点上它比起一些PHP框架也并不逊色。我个人认为，如果重心在于提供服务而不是掌握技术，有WordPress 这样的程序是没有必要使用框架的。
可惜的是，由于Nodejs还很年轻，目前还没有WordPress这样的程序，因此目前在Node.js开发里，如果想做出自己想要的作品，框架是必然的选择。如果是某些特定类型的应用，可以尝试一些开源的程序，比如要用Nodejs做博客，有Hexo、Ghost等。
Node.js Web框架有哪些？
Node.js里的Web框架分为API框架和Web应用框架。前者能够开发出RESTful的API，后者也能开发出RESTful API，但还包括模板、渲染等为前端所准备的功能。
API框架的使用场景是为跨平台应用提供统一的数据模型，而渲染由前端/客户端自行解决。目前比较知名的API框架有
restify（文档、Github、NPM）
ActionHero.js（官网、Github、NPM）
LoopBack（官网、Github、NPM）
Frisby（官网、Github、NPM）
Fortune.js（官网、Github、NPM）
Web应用框架顾名思义，就是为了打造Web应用所开发的框架。这里有两种风格的Web应用框架。
一个是Sinatra风格，另一个是Rails风格。Sinatra和Rails都是Ruby语言的Web框架，后者的影响力更大也更为知名。这里简单的解释一下两种风格是什么意思。
Sinatra风格是指高度可配置，注重开发的自由度。代表性的Nodejs Web框架有：
Express（官网、Github、NPM）TJ大神开发，Node.js官方推荐
hapi（官网、Github、NPM）
koa.js（官网、Github、NPM）
flaliron（官网、Github、NPM）
total.js（官网、Github、NPM）
locomotive（官网、Github、NPM）
Rails风格则是指不重复自己和约定优于配置，以及严格遵循MVC结构开发。代表性的框架有：
Sails.js（官网、Github、NPM）
geddy（官网、Github、NPM）
CompoundJS（官网、Github、NPM） 原railswayjs
这两种风格无所谓谁优谁劣，全凭使用者的偏好。
而在这两种Web框架之外，还有更大型的框架，即全栈框架，其中的代表是MEAN。
MEAN？
MEAN指MongoDB+Express+Angular.js+Node.js，这一组合包括运行环境、数据库、Web框架和前端引擎。被称为 全栈框架（Full-stack framework）。这其中除了Node.js之外，每一个都是可替换的，目标是创建从前端到后端，全部使用javascript的Web应用。
由于这一框架的完善性，有人将其称为LAMP的接班人。LAMP即PHP的典型运行环境，Linux+Apache+MySql+PHP，被大量的用于各种虚拟主机上。
MEAN看似庞大，但事实上要构建完整的现代化Web应用，特别是SPA（单页面应用），这几个组件都是难以缺少的，并且，其中每一项几乎都是目前 情况下的最佳选择，因此用于学习和重头开始打造新的Web应用是非常合适的。但由于实际业务的独特性，很可能要替换其中的组件，比如用Mysql来替换 MongoDB，因此，学习其中的原理和架构，打造自己的类MEAN框架也是一种选择。
作为个人和小团队来说，全栈框架MEAN基本上足够了，但目前大多数全栈框架还包含一项特性，那就是实时，拥有实时功能的框架我们又称为实时框架。
实时框架好吗？
实时框架（Real-time framework）指包含了webSocket的双向通信功能，能够在服务器和客户端做到实时通信的框架。
服务端和客户端自由通信的需求一直都在，但由于HTTP协议本身的局限性，因此催生了Comet等变通的方法，但即使这样也离实时相距甚远。而当 Node.js兴起后，另一个HTML5技术webSocket也渐渐成熟，人们突然发现，实时通信一下子变得触手可及，于是webSocket技术在 Node.js中得到大量的应用，其中最为知名的模块就是socket.io，而各种全栈框架也纷纷加入实时特性来应对更广阔的开发需求。
目前有代表性的实时框架有：
Meteor（官网、Github、NPM）
MEAN.io（官网、Github、NPM）
Derby（官网、Github、NPM）
SocketStream（官网、Github、NPM）
不过说实话，目前能看到的实时通信的应用场景其实不多，其中大多集中于聊天室、to-do、实时图表、在线游戏等领域。其他领域使用实时特性不但没必要，而且是对服务器资源的浪费。因此目前是否要采用实时框架，要看具体的项目而定。
以上基本就是Node.js Web框架的现状了，相信看到这里，对于选择何种框架读者已经心里有数了吧。最后再介绍一个容易搞混的概念，和解释一下我的选择。
YEOMAN？
第一次见到这个词，我还以为它和MEAN有什么联系。事实上，它们是截然不同的两个东西。YEOMAN由YO（脚手架）、grunt（构建工具）、bower（包管理器），它代表的是一种工作流，与框架开发的思维方式完全不同。具体的介绍可见这里。
YEOMAN能够和框架达到类似的目的，都是为构建一个Web应用做好准备，但是要不要采用YEOMAN，则是见仁见智。我个人的看法是，学习 YEOMAN本身就需要不少时间，并且有一定的学习门槛。至少在目前，使用框架开发还是相对经济的，而如果以后YEOMAN这种模式推广开来，再来学习也 不迟，更何况有一定的Node.js项目经验之后再来学习YEOMAN要轻松很多。
事实上，我还是很认可YEOMAN这种Generator+package Manager的模式的，这是因为Node.js本身崇尚微模块的 概念，即无论是多么小的功能，都将它们模块化，甚至大的模块也要拆分成小的模块，然后通过搭积木的方式来构建应用。这样能够彻底的解耦，对于不容易调试的 Javascript来说，也有助于定位和修复应用中的问题。Generator就是这种理念催生下的产物，通过选择不同的配置和选项，将积木搭起来。不 过对于这种模式目前大家也还处于实验当中，不急于进行实际应用。
目前nodejs都有什么框架呢？哪个最好
对于开发者来最好的15个Node.JS框架：
Kiss
Kiss.js使用Django风格的模板。通过项目你可以看到，客户端的coffee scripts脚本在刚开始时会被加载。样式使用Stylus。
Sails
Sails 很容易]创建自定义的，企业级的Node.js应用。它被设计成你熟悉的类似Ruby on Rails的MVC框架，但是又可以满足现代应用的需要： 可扩展的数据驱动接口，面向服务的架构。它特别擅长设计图表，时时表单，或多人游戏，你可以在任何项目中使用。
Total
Total.js是另外一旧助你创建Node.js，Web页面/应用的好框架，同样支持MVC架构。它是一旧使用HTML,JavaScript和CSS创建的现代框架。
Partial
Partial.js又一个 Node.JS框架，开发者使用HTML,CSS和JavaScript可以创建大型的Web站点和应用。功能和架构类似于total.js
Flatiron
Flatiron.js同样也是一旧现代的下一代的web框架，帮助开发者创建惊艳的web应用和功能。
Socket Stream
Socket Stream是被来设计时时响应的单页面程序，基于快速的棋模块化r 特性。
Socket.io
Socket.io是基于node.js的实时框架，支持HTML的WebSocket和跨浏览器的向后监察。
Dozer
Dozer是一款极快r 支持前端应用的系统。它不是一个框架，不是一个工具包。Dozer的设计原则是为前端提供RESTful API的接口支持。
Coke
COKE是一个轻量级的MVC框架。它非常简单，模块化的，非常快。
Express.io
Express.io是一组实时的基于node.js的web开发框架，支持MVC构架创建Web应用。
Opa
Ops是g 个JavaScript的框架－快速的加密的Web开发。
Spine
现代的MVC模式，完全支持现代JavaScrip应用。
Mean
MEAN是一款优化后的全栈javascript node.js框架，将简化和加速你的web应用开发。
Sleek
一步就叫座创建快速的，灵活的，友好的web程序。
Stapes
Stapes.js假设你的流程和风格是未知r 。
kraken
Kraken是一个安全的可扩展的框架，可以帮助你更好组织你的架构。他们的模块都可以独立使用。
Derby
Web webjs将你的服务器端脚本变得更简单，更稳定，可读性晚好。
Geddy.
WINTERSMITH
基于node.js的快速的极小的，多平台支持的站点生成器。