express-jwt使用process.env.JWT_SECRET作为密钥遇多种错误求助

核心问题根源 #

所有错误本质是环境变量process.env.JWT_SECRET未正确加载，导致其值为undefined，进而引发不同表现的错误。

解决方案步骤 #

1. 确保环境变量正确加载 #

首先安装dotenv包加载.env文件中的环境变量：

npm install dotenv
# 或
yarn add dotenv

在项目入口文件（如app.js、index.js）的最顶部添加加载代码：

// CommonJS 写法
require('dotenv').config();

// ES Modules 写法
import dotenv from 'dotenv';
dotenv.config();

2. 检查.env文件配置 #

确保.env文件中正确设置JWT_SECRET，注意不要加引号、不要有多余空格：

JWT_SECRET=09f26e402586e2faa8da4c98a35f1b20d6b033c6097befa8be3486a829587fe2f90a832bd3ff9d42710a4da095a2ce285b009f0c3730cd9b8e1af3eb84df6611

3. 正确的中间件写法 #

环境变量加载正常后，使用以下写法即可正常运行：

export const requireSignin = expressjwt({
  secret: process.env.JWT_SECRET,
  algorithms: ["HS256"],
  userProperty: "auth",
});

各错误写法的原因解析 #

• 写法一：${process.env.JWT_SECRET}会将undefined转为字符串"undefined"，导致验证时使用的密钥和生成JWT时的密钥不一致，触发UnauthorizedError: invalid signature错误。
• 写法二：之前报错是因为process.env.JWT_SECRET未定义，环境变量未加载成功，加载正常后此写法完全正确。
• 写法三：将中间件包装成了函数，但Express路由需要直接传入中间件函数本身。如果要用这种写法，路由中必须调用函数：router.get('/protected', requireSignin(), (req, res) => { ... })，否则会传递一个返回中间件的函数，导致请求无法被处理，出现无限加载。
• 写法四：硬编码密钥虽能运行，但密钥会暴露在代码仓库中，存在严重安全风险，禁止使用。

内容的提问来源于stack exchange，提问作者Yohav Rn