深入解析Authorization与Token的区别：从原理到最佳实践

1次阅读

没有评论

共计 1889 个字符，预计需要花费 5 分钟才能阅读完成。

在 Web 安全领域，Authorization（授权）和 Token（令牌）是两个经常被混淆但实际截然不同的概念。我们先从它们的定义和功能角色开始梳理。

Authorization（授权）：这是一个过程，决定已认证的用户有权访问哪些资源或执行哪些操作。它发生在身份验证之后，是访问控制的第二阶段。
Token（令牌）：这是一个具体的凭证，通常是一个字符串，用于在客户端和服务器之间传递认证和授权信息。Token 本身不直接等同于授权，而是实现授权机制的一种载体。

很多开发者容易将这两者混为一谈，导致系统设计出现漏洞。以下是一些常见的混淆场景：

将 Token 直接视为授权，而不进行后续的权限验证
在 Token 中存储过多敏感信息，导致安全风险
混淆 Authorization Header 和 Token 的概念
认为 Token 过期就意味着授权失效（实际上还需要服务器端的验证）

这些混淆可能导致严重的安全问题，比如越权访问、信息泄露等。

下面我们以 Node.js 为例，展示一个标准的 JWT 授权实现流程。这个示例包含了从 Token 生成到授权验证的完整过程。

const jwt = require('jsonwebtoken');
const express = require('express');
const app = express();

// 密钥，实际项目中应该从安全配置中获取
const SECRET_KEY = 'your-secret-key';

// 用户登录，生成 Token
app.post('/login', (req, res) => {
  // 假设用户认证通过
  const user = {id: 123, username: 'example'};

  // 生成 Token，包含用户 ID 和过期时间
  const token = jwt.sign({ userId: user.id},
    SECRET_KEY,
    {expiresIn: '1h'}
  );

  res.json({token});
});

// 需要授权的 API 端点
app.get('/protected', (req, res) => {
  // 从 Authorization 头获取 Token
  const authHeader = req.headers['authorization'];
  const token = authHeader && authHeader.split(' ')[1];

  if (!token) return res.sendStatus(401);

  // 验证 Token
  jwt.verify(token, SECRET_KEY, (err, user) => {if (err) return res.sendStatus(403);

    // Token 验证通过后，进行具体的授权检查
    // 这里可以查询数据库检查用户权限等
    if (user.userId === 123) {res.json({ message: '访问成功', user});
    } else {res.sendStatus(403);
    }
  });
});

app.listen(3000);

为了保证系统的安全性，我们需要在以下几个方面特别注意：