当前位置：首页 > news >正文

如何构建安全可靠的 myDrive 用户认证系统：JWT访问令牌与刷新令牌完整指南

news 2026/4/18 9:15:16

如何构建安全可靠的 myDrive 用户认证系统：JWT访问令牌与刷新令牌完整指南

【免费下载链接】myDriveNode.js and mongoDB Google Drive Clone项目地址: https://gitcode.com/gh_mirrors/my/myDrive

在当今数字化时代，用户认证是任何Web应用程序的核心安全组件。myDrive作为一个基于Node.js和MongoDB构建的Google Drive克隆项目，采用了JWT（JSON Web Token）访问令牌与刷新令牌的双重认证机制，为用户数据提供了强大的安全保障。本文将详细介绍myDrive认证系统的实现原理、核心组件及最佳实践，帮助开发者快速掌握现代Web应用的用户认证技术。

认证系统核心架构：为何选择JWT双重令牌机制？

myDrive的认证系统采用了业界公认的JWT双重令牌架构，这种设计既保证了系统安全性，又提升了用户体验。访问令牌（Access Token）用于短期授权API访问，有效期仅20分钟；而刷新令牌（Refresh Token）则具有30天的长有效期，用于在访问令牌过期后获取新的访问令牌。这种分层设计有效降低了长期令牌被盗用的风险，同时避免了用户频繁登录的麻烦。

图1：myDrive认证系统架构示意图，展示了访问令牌与刷新令牌的交互流程

双重令牌的核心优势：

安全性：短期访问令牌减少了被盗用后的风险窗口
用户体验：长期刷新令牌避免频繁登录
灵活性：可针对不同API设置不同令牌策略（如视频流专用令牌）
可扩展性：支持多设备登录和会话管理

从零开始：myDrive认证系统的实现步骤

1. 令牌生成与配置：createCookies.ts的核心实现

myDrive的令牌创建逻辑集中在backend/cookies/createCookies.ts文件中，该模块负责设置令牌的有效期、安全属性和存储方式。关键代码如下：

// 令牌有效期配置 const maxAgeAccess = 60 * 1000 * 20; // 访问令牌：20分钟 const maxAgeRefresh = 60 * 1000 * 60 * 24 * 30; // 刷新令牌：30天 const maxAgeStreamVideo = 60 * 1000 * 60 * 24; // 视频流令牌：24小时 // 创建登录Cookie export const createLoginCookie = (res: Response, accessToken: string, refreshToken: string) => { res.cookie("access-token", accessToken, { httpOnly: true, // 防止JavaScript访问 maxAge: maxAgeAccess, sameSite: "strict", // 防止CSRF攻击 secure: secureCookies // 生产环境启用HTTPS }) res.cookie("refresh-token", refreshToken, { httpOnly: true, maxAge: maxAgeRefresh, sameSite: "strict", secure: secureCookies }) }

这种配置确保了令牌无法通过客户端脚本访问，并且仅在HTTPS环境下传输，有效防范了XSS和CSRF攻击。

2. 用户登录流程：从凭证验证到令牌发放

当用户提交登录凭证后，myDrive的认证流程如下：

凭证验证：在backend/controllers/user.ts中验证用户邮箱和密码
令牌生成：调用user.generateAuthToken()方法创建访问令牌和刷新令牌
Cookie设置：通过createLoginCookie()将令牌存储到HTTP-only Cookie中

图2：myDrive用户登录界面，展示了认证系统的前端交互

关键实现代码位于用户控制器中：

// 用户登录处理 const user = await User.findByCredentials(req.body.email, req.body.password); const {accessToken, refreshToken} = await user.generateAuthToken(currentUUID); createLoginCookie(res, accessToken, refreshToken);

3. 请求认证中间件：保护API端点的安全屏障

myDrive使用中间件模式实现API访问控制，所有需要认证的路由都通过backend/middleware/auth.ts进行令牌验证：

// JWT验证中间件 const accessToken = req.cookies["access-token"]; if (!accessToken) throw new NotAuthorizedError(); const decoded = jwt.verify(accessToken, env.passwordAccess!) as jwtType; const user = await User.findOne({_id: decoded.id, "tokens.token": encryptedToken}); if (!user) throw new NotAuthorizedError(); req.user = user; next();

这种设计确保了只有携带有效访问令牌的请求才能访问受保护的API端点。

高级特性：刷新令牌与令牌轮换机制

刷新令牌流程：无缝续期用户会话

当访问令牌过期时，myDrive通过backend/middleware/authRefresh.ts实现无缝刷新：

客户端发送包含刷新令牌的请求
服务器验证刷新令牌的有效性
生成新的访问令牌并返回给客户端
可选：实现令牌轮换以增强安全性

图3：令牌刷新流程示意图，展示了访问令牌过期后的自动续期机制

多场景令牌管理：专用令牌提升安全性

myDrive为不同使用场景设计了专用令牌，如视频流访问令牌：

// 创建视频流访问令牌 export const createStreamVideoCookie = (res: Response, streamVideoAccessToken: string) => { res.cookie("video-access-token", streamVideoAccessToken, { httpOnly: true, maxAge: maxAgeStreamVideo, sameSite: "strict", secure: secureCookies }) }

这种精细化的令牌管理策略，确保了不同敏感级别的操作拥有不同的安全控制。