使用express-jwt实现Web API认证时遭遇401未授权问题求助

兄弟，你这是把JWT令牌和验证密钥的概念完全搞混了！这就是为啥你明明觉得“内容匹配”却还是拿到401的原因。

先给你掰扯清楚express-jwt的核心逻辑：它不是直接比对你请求头里Bearer后面的内容和密钥是否一致，而是要验证这个内容是不是一个用你的密钥签名过的合法JWT令牌。

你的问题出在哪？ #

你把密钥hello world !直接当成令牌放到了Authorization头里，但express-jwt看到这个字符串的时候，根本无法解析成标准的JWT结构（JWT是由.分隔的三部分：头部、载荷、签名），自然直接判定为无效令牌，返回401。

正确的玩法应该是这样的： #

1. 生成合法的JWT令牌：先用你的密钥，通过jsonwebtoken库的sign()方法生成令牌。举个实际代码例子：

const jwt = require('jsonwebtoken');
const secretKey = 'hello world !';

// 这里可以把用户ID、权限等信息放进payload里
const token = jwt.sign({ userId: 1001 }, secretKey, { expiresIn: '2h' });
// 生成的token会是类似这样的长字符串：eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1c2VySWQiOjEwMDEsImlhdCI6MTY5NjE1OTQ1NiwiZXhwIjoxNjk2MTY2NjU2fQ.xxx...

2. 携带正确的令牌请求API：把上面生成的这个token放到请求头里，格式是Bearer 生成的token字符串，而不是直接放密钥。
3. express-jwt验证通过：后端的express-jwt中间件配置好同一个secretKey后，会自动解析这个令牌，用密钥验证签名的合法性——只有签名正确（说明令牌是用你的密钥生成的，没有被篡改），才会通过验证，把解析后的用户信息放到req.user里。

再明确一下你之前的疑问： #

req.headers.authorization.split(' ')[1]拿到的是令牌部分，这个部分不需要和密钥一致，它需要是一个用密钥签名生成的JWT格式字符串。密钥是用来验证这个令牌的签名的，不是直接比对内容的。

小建议： #

如果想快速验证，先生成一个测试令牌，用Postman或者curl携带这个正确的令牌发请求，就能看到验证通过了。另外生产环境里，别用这种简单的明文密钥，建议用更长的随机字符串或者非对称加密的公钥/私钥对，更安全。

内容的提问来源于stack exchange，提问作者Nate