Node.js Express中JWT登录验证后，如何从/auth路由重定向至/updateUsers？

要实现登录验证后重定向到带JWT验证的/updateUsers路由，核心问题是如何让重定向后的请求携带JWT令牌——浏览器重定向时不会自动把响应头里的令牌带到新请求中，最可靠的方式是把JWT存入HttpOnly Cookie，这样浏览器会自动在后续请求中带上Cookie，供验证中间件读取。

步骤1：修改/auth路由，将JWT存入Cookie并重定向 #

替换原来返回JSON的逻辑，生成令牌后存入Cookie，再发起重定向：

const jwt = require('jsonwebtoken');
const cookieParser = require('cookie-parser');

// 先确保在Express应用中启用cookie-parser中间件
app.use(cookieParser());

// /auth登录路由处理
app.post('/auth', async (req, res) => {
  // 1. 完成用户验证逻辑（示例：假设已拿到验证后的user对象）
  const user = await yourUserValidationLogic(req.body);
  if (!user) {
    return res.status(401).send('用户名或密码错误');
  }

  // 2. 生成JWT令牌，携带admin、estado等信息
  const token = jwt.sign(
    { userId: user.id, admin: user.admin, estado: user.estado },
    process.env.JWT_SECRET_KEY, // 从环境变量取密钥，不要硬编码
    { expiresIn: '1h' } // 设置令牌有效期
  );

  // 3. 将令牌存入HttpOnly Cookie（安全优先）
  res.cookie('auth_token', token, {
    httpOnly: true, // 禁止前端JS读取，防范XSS攻击
    secure: process.env.NODE_ENV === 'production', // 生产环境仅HTTPS传输
    maxAge: 3600000, // 有效期1小时，与JWT过期时间一致
    sameSite: 'strict' // 防范CSRF攻击
  });

  // 4. 重定向到受保护的/updateUsers路由
  res.redirect('/updateUsers');
});

步骤2：修改JWT验证中间件，从Cookie读取令牌 #

原来的验证中间件如果是从Authorization头取令牌，现在要改成从Cookie读取：

// JWT验证中间件
const authenticateJWT = (req, res, next) => {
  // 从Cookie中获取令牌
  const token = req.cookies.auth_token;

  if (!token) {
    return res.status(401).send('未登录，请先登录');
  }

  // 验证令牌有效性
  jwt.verify(token, process.env.JWT_SECRET_KEY, (err, decoded) => {
    if (err) {
      return res.status(403).send('登录已过期，请重新登录');
    }
    // 将解码后的用户信息挂载到req对象，供后续路由使用
    req.user = decoded;
    next();
  });
};

// 给/updateUsers路由应用验证中间件
app.get('/updateUsers', authenticateJWT, (req, res) => {
  // 这里处理/updateUsers的业务逻辑，比如返回页面或数据
  res.send(`登录成功！用户身份：${req.user.admin ? '管理员' : '普通用户'}，状态：${req.user.estado}`);
});

关键注意事项 #

• 必须安装并启用cookie-parser：执行npm install cookie-parser，然后在Express入口文件中引入并使用app.use(cookieParser())。
• 生产环境配置：务必开启secure: true，确保Cookie仅在HTTPS连接下传输，避免令牌被窃听。
• 令牌有效期：Cookie的maxAge要和JWT的expiresIn保持一致，避免Cookie未过期但令牌已失效的情况。

内容的提问来源于stack exchange，提问作者EveMonvie