每个请求的 JWT 令牌验证？

Question

我已经在带有 jwt 身份验证的节点中开发了一个简单的烘焙服务器，但我仍然有一个问题：用户正确登录并将令牌保存在客户端后，服务器是否应该在每个用户请求时验证令牌？例如，当访问/profile路由（将用户带到个人资料页面）时，或者当用户通过向路由发送发布请求来创建问题时，/posts/create我是否应该使用该方法jwt.verify(...)来检查令牌是否每次都正确？发送 jwt 访问令牌而不是刷新令牌是否正确，或者这是一个不好的做法？

Answer 1

是的，您应该验证每个请求。那就是调用中间件。第一步，您检查身份验证。之后就可以用它来进行授权了。您可以在 JWT 中写入角色、某些权限或其他信息。