当前位置：首页 > news >正文

cool-admin(midway版)后端接口签名：最佳实践指南

news 2026/5/26 21:32:28

cool-admin(midway版)后端接口签名：最佳实践指南

【免费下载链接】cool-admin-midway🔥 cool-admin(midway版)一个很酷的后台权限管理框架，模块化、插件化、CRUD极速开发，永久开源免费，基于midway.js 3.x、typescript、typeorm、mysql、jwt、vue3、vite、element-ui等构建项目地址: https://gitcode.com/gh_mirrors/co/cool-admin-midway

cool-admin(midway版)是一个基于Midway.js 3.x构建的现代化后台权限管理框架，它提供了强大的接口签名和安全认证机制。作为一款模块化、插件化的CRUD极速开发框架，cool-admin在接口安全方面有着完善的实现方案。本文将详细介绍cool-admin的后端接口签名最佳实践，帮助开发者构建更安全的后端API服务。

🔐 为什么需要接口签名和安全认证？

在现代化的Web应用中，接口安全是至关重要的。cool-admin通过JWT(JSON Web Token)和自定义的权限校验机制，为后端接口提供了多层次的安全防护。接口签名不仅防止未授权访问，还能确保数据传输的完整性和用户身份的合法性。

🛡️ cool-admin的JWT配置与实现

cool-admin使用jsonwebtoken库来实现JWT令牌的生成和验证。框架中有两个主要的JWT配置：

1. 管理员接口JWT配置

在src/modules/base/config.ts中，管理员接口的JWT配置如下：

jwt: { // 单点登录 sso: false, // 注意： 最好重新修改，防止破解 secret: 'cool-admin-xxxxxx', // token token: { // 2小时过期，需要用刷新token expire: 2 * 3600, // 15天内，如果没操作过就需要重新登录 refreshExpire: 24 * 3600 * 15, }, },

2. 用户接口JWT配置

在src/modules/user/config.ts中，普通用户接口的JWT配置：

jwt: { // token 过期时间，单位秒 expire: 60 * 60 * 24, // 刷新token 过期时间，单位秒 refreshExpire: 60 * 60 * 24 * 30, // jwt 秘钥 secret: 'cool-app-xxxxxx', },

🔑 权限校验中间件实现

cool-admin通过权限中间件BaseAuthorityMiddleware来实现接口访问控制。这个中间件位于src/modules/base/middleware/authority.ts，它负责：

Token验证：使用JWT验证请求头中的Authorization令牌
权限检查：验证用户是否有访问特定接口的权限
单点登录支持：可配置是否启用单点登录
密码版本控制：防止密码修改后的旧令牌继续使用

关键代码实现：

// Token验证 ctx.admin = jwt.verify(token, this.jwtConfig.jwt.secret); // 权限校验 let perms: string[] = await this.midwayCache.get( `admin:perms:${ctx.admin.userId}` ); if (!_.isEmpty(perms)) { perms = perms.map(e => { return e.replace(/:/g, '/'); }); if (!perms.includes(url.split('?')[0].replace('/admin/', ''))) { statusCode = 403; } }

🔄 Token生成与刷新机制

cool-admin实现了完整的Token生命周期管理：

Token生成

在src/modules/base/service/sys/login.ts中，Token生成过程：

const tokenInfo = { isRefresh: false, roleIds, username: user.username, userId: user.id, passwordVersion: user.passwordV, tenantId: user['tenantId'], }; return jwt.sign(tokenInfo, this.coolConfig.jwt.secret, { expiresIn: expire, });

Token刷新

系统支持Token刷新机制，当访问令牌过期时，可以使用刷新令牌获取新的访问令牌：

async refreshToken(token: string) { const decoded = jwt.verify(token, this.coolConfig.jwt.secret); if (decoded && decoded['isRefresh']) { // 生成新的访问令牌和刷新令牌 // ... } }

🎯 微信签名实现示例

cool-admin还提供了微信接口签名的实现示例，在src/modules/user/service/wx.ts中：

// 微信JS-SDK签名生成 const signArr = []; signArr.push('jsapi_ticket=' + ticket.data.ticket); signArr.push('noncestr=' + result.nonceStr); signArr.push('timestamp=' + result.timestamp); signArr.push('url=' + decodeURI(url)); result.signature = crypto .createHash('sha1') .update(signArr.join('&')) .digest('hex') .toUpperCase();