Node.js基于Express如何从浏览器响应头Cookie中读取并验证JWT

现有代码的核心问题 #

• 已经引入并注册了cookie-parser中间件，但没有使用它解析好的结构化Cookie对象，直接读取原始Cookie请求头拿到的是所有Cookie拼接的字符串，无法直接定位到JWT令牌。
• 实际的JWT校验逻辑被注释，没有做签名有效性、过期时间校验，也没有提取令牌内的用户信息做归属校验。
• 错误处理逻辑中的res.clearHeader写法错误，没有生效。

优化实现方案 #

首先确认你在前端设置Cookie存储JWT时使用的键名，通用命名为access_token，你可以根据实际业务修改对应键名即可，修改后的代码如下：

const jwt = require('jsonwebtoken');
const router = require('express')();
const cookieParser = require('cookie-parser');
router.use(cookieParser());

module.exports = function(req,res,next){
    // 直接从解析后的cookies中精准获取JWT令牌
    const token = req.cookies.access_token;
    if (!token) {
        return res.status(403).send('Access Denied');
    }
    try{
        // 验证JWT签名、有效期是否合法，验证通过后返回Payload内容
        const verified = jwt.verify(token, process.env.TOKEN_SECRET);
        // verified中包含你签发JWT时存入的用户信息（比如用户ID、用户名等）
        req.user = verified;
        // 如果需要额外校验是否为对应用户的令牌，可以在这里加逻辑
        // 示例：将Payload中的用户ID和请求参数携带的用户ID做比对，或者查询数据库确认用户状态正常
        next();
    } catch (err) {
        // 验证失败清除对应Cookie
        res.clearCookie('access_token');
        res.status(403).send('Invalid Token');
    }
};

补充注意事项 #

• 存储JWT的Cookie建议开启HttpOnly属性，避免前端JS读取引发XSS窃听风险，同时生产环境建议开启Secure属性仅在HTTPS下传输。
• jwt.verify会自动校验令牌的过期时间、签名是否被篡改，不需要手动处理。
• 如果要严格校验令牌归属，可将JWT Payload中存储的用户标识，和当前请求的业务参数中的用户标识做一致性比对，避免越权访问。

内容的提问来源于stack exchange，提问作者Alex