菜鸟教程
教程 hono tutorial

鉴权接口实战

这一节实现一个最小 JWT 鉴权流程：登录、签发 Token、保护接口、读取当前用户。

示例用户

ts 
type User = {
  id: string
  email: string
  password: string
  role: 'admin' | 'user'
}

const users: User[] = [
  {
    id: 'u_1',
    email: '[email protected]',
    password: 'secret',
    role: 'admin',
  },
]

示例为了简洁使用明文密码。真实项目必须使用 Argon2、bcrypt 或其他安全哈希方案。

登录接口

ts 
import { sign } from 'hono/jwt'

const jwtSecret = 'change-me'

app.post('/auth/login', async (c) => {
  const body = await c.req.json<{
    email?: string
    password?: string
  }>()

  const user = users.find((item) => item.email === body.email)

  if (!user || user.password !== body.password) {
    return c.json({ message: 'Invalid email or password' }, 401)
  }

  const token = await sign(
    {
      sub: user.id,
      role: user.role,
      exp: Math.floor(Date.now() / 1000) + 60 * 60,
    },
    jwtSecret,
  )

  return c.json({ token })
})

保护路由

ts 
import { jwt } from 'hono/jwt'

app.use(
  '/auth/me',
  jwt({
    secret: jwtSecret,
  }),
)

app.get('/auth/me', (c) => {
  const payload = c.get('jwtPayload')
  const user = users.find((item) => item.id === payload.sub)

  if (!user) {
    return c.json({ message: 'User not found' }, 404)
  }

  return c.json({
    id: user.id,
    email: user.email,
    role: user.role,
  })
})

调用流程

登录：

bash 
curl -X POST http://localhost:3000/auth/login \
  -H "Content-Type: application/json" \
  -d '{"email":"[email protected]","password":"secret"}'

访问当前用户：

bash 
curl http://localhost:3000/auth/me \
  -H "Authorization: Bearer <token>"

生产改进

  • 使用密码哈希，不保存明文密码。
  • 使用 HTTPS，避免 Token 在传输中泄露。
  • Token 密钥通过环境变量或 Secret 管理。
  • 设计刷新 Token、退出登录和吊销机制。
  • 对登录接口加限流和审计日志。
  • 不要在 Token 中放敏感资料。

JWT 适合无状态 API，但无状态不等于无需管理。权限变更、账号禁用、风险登录等场景仍然需要服务端策略。

相关内容