NodeJS后端接口安全加固实战：JWT认证与限流防护

# NodeJS后端接口安全加固实战：JWT认证与限流防护 ## 前言 在日常的NodeJS后端开发中，接口安全是每个开发者必须面对的问题。没有经过安全加固的接口，轻则被恶意爬虫薅数据，重则导致服务器资源被耗尽。本文将通过一个实操案例，详细介绍如何使用JWT实现接口认证，并结合express-rate-limit进行API限流，帮助大家快速加固后端接口。 ## 一、JWT认证的实现 JWT（JSON Web Token）是目前最主流的无状态认证方案。它的核心思想是：用户登录成功后，服务端生成一个加密的token返回给客户端，客户端后续请求都携带这个token，服务端验证token的合法性即可。 ### 1.1 安装依赖 ```bash npm install jsonwebtoken express ``` ### 1.2 实现登录接口 ```javascript const jwt = require('jsonwebtoken'); const SECRET_KEY = 'your-secret-key-change-in-production'; // 登录接口 app.post('/api/login', async (req, res) => { const { username, password } = req.body; // 验证用户名密码（实际项目中应查数据库） const user = await validateUser(username, password); if (!user) { return res.status(401).json({ code: -1, msg: '用户名或密码错误' }); } // 生成token，设置7天过期 const token = jwt.sign( { userId: user.id, role: user.role }, SECRET_KEY, { expiresIn: '7d' } ); res.json({ code: 0, data: { token }, msg: '登录成功' }); }); ``` ### 1.3 实现认证中间件 ```javascript // JWT认证中间件 function authMiddleware(req, res, next) { const token = req.headers.authorization?.replace('Bearer ', ''); if (!token) { return res.status(401).json({ code: -1, msg: '未提供认证token' }); } try { const decoded = jwt.verify(token, SECRET_KEY); req.user = decoded; next(); } catch (err) { return res.status(401).json({ code: -1, msg: 'token无效或已过期' }); } } // 应用到需要保护的路由 app.use('/api/protected', authMiddleware); ``` ## 二、API限流防护 即使接口有了认证，恶意用户依然可以通过高频请求来消耗服务器资源。引入限流机制可以有效防止这种情况。 ### 2.1 安装依赖 ```bash npm install express-rate-limit ``` ### 2.2 配置全局限流 ```javascript const rateLimit = require('express-rate-limit'); // 全局限流：每个IP每分钟最多100个请求 const globalLimiter = rateLimit({ windowMs: 60 * 1000, // 1分钟 max: 100, message: { code: -1, msg: '请求过于频繁，请稍后再试' }, standardHeaders: true, legacyHeaders: false, }); app.use(globalLimiter); ``` ### 2.3 针对敏感接口加强限流 ```javascript // 登录接口限流：每个IP每分钟最多5次尝试 const loginLimiter = rateLimit({ windowMs: 60 * 1000, max: 5, message: { code: -1, msg: '登录尝试次数过多，请1分钟后再试' }, skipSuccessfulRequests: true, // 成功的不计入 }); app.post('/api/login', loginLimiter, loginHandler); ``` ## 三、避坑指南 1. **密钥管理**：JWT的SECRET_KEY绝对不能硬编码在代码中，务必使用环境变量管理，生产环境密钥至少32位随机字符串。 2. **token刷新策略**：建议配合refresh token机制，access token设置短过期时间（如15分钟），用refresh token来续期，这样即使access token泄露影响也有限。 3. **限流存储**：单机部署用内存存储即可，但多实例部署时需要使用Redis等外部存储来保证限流计数的一致性。 4. **白名单机制**：对内部服务之间的调用建议配置IP白名单，跳过限流检查。 5. **日志监控**：务必记录认证失败和限流触发的日志，便于后续安全审计和异常排查。 ## 总结 接口安全是一个需要持续关注的话题。JWT认证解决了"你是谁"的问题，限流防护解决了"别刷我"的问题，两者结合可以构建一个基础但有效的安全防护体系。实际项目中还需要根据业务场景进一步扩展，比如加入RBAC权限控制、请求参数校验、SQL注入防护等。