JWT验证AccessToken异常：已登录仍无法访问/secret路由求助

核心问题 #

1. GET请求无法从req.body获取Token：/secret是GET接口，前端发送GET请求时通常不会携带请求体，req.body.accessToken始终为undefined，导致JWT验证失败返回denied。
2. Token传递不符合规范：JWT标准传递方式是放在请求头的Authorization字段，格式为Bearer <accessToken>，而非请求体。

修复方案 #

1. 修正/secret路由的Token获取逻辑 #

修改为从请求头提取Token，并处理Bearer前缀：

app.get('/secret', (req, res) => {
    // 从Authorization请求头提取Token
    const authHeader = req.headers.authorization;
    const token = authHeader && authHeader.split(' ')[1];

    // 无Token直接拒绝
    if (!token) {
        return res.send('denied');
    }

    jwt.verify(token, process.env.ACCESS_TOKEN_SECRET_KEY, (err, decoded) => {
        err ? res.send('denied') : res.send('granted');
    });
})

2. 优化JWT签名内容（安全优化） #

签名Token时无需包含用户密码，避免敏感信息泄露：

if(foundUser) {
    // 仅保留必要的用户标识字段
    const userInfo = { username: foundUser.username };
    const accessToken = jwt.sign(userInfo, process.env.ACCESS_TOKEN_SECRET_KEY);
    res.json({ accessToken });
}

3. 前端请求/secret的正确姿势 #

拿到accessToken后，需在请求头中携带：

// 示例：使用fetch发送请求
fetch('/secret', {
    headers: {
        'Authorization': `Bearer ${你的accessToken}`
    }
})

进阶优化：抽离验证中间件 #

将JWT验证逻辑封装为中间件，方便多个路由复用：

// 定义验证中间件
function checkAuth(req, res, next) {
    const authHeader = req.headers.authorization;
    const token = authHeader && authHeader.split(' ')[1];

    if (!token) {
        return res.send('denied');
    }

    jwt.verify(token, process.env.ACCESS_TOKEN_SECRET_KEY, (err, decoded) => {
        if (err) return res.send('denied');
        // 将解析后的用户信息挂载到req对象，后续路由可直接使用
        req.user = decoded;
        next();
    });
}

// 使用中间件保护路由
app.get('/secret', checkAuth, (req, res) => {
    res.send('granted');
})

内容的提问来源于stack exchange，提问作者Andrew Kim