Ionic请求头中Authorization字段的工作原理探究

嘿，我来给你拆解这个Authorization字段在JWT认证流程里的工作逻辑，结合你提供的Ionic代码片段来看：

1. 先搞懂令牌的来源 #

在你的项目里，用户得先完成登录：客户端把用户名、密码这类身份凭证发给NodeJS服务端，服务端验证通过后，会生成一个JWT令牌（也就是你代码里的this.authService.token），然后把这个令牌返回给客户端。客户端会把它存在本地（比如Ionic的Storage或者浏览器的localStorage），之后每次调用需要权限的接口（比如你写的createTodo）都会带上它。

2. Authorization字段的作用与格式 #

你代码里是直接把令牌塞进Authorization请求头里，严格来说JWT的标准写法是：

Authorization: Bearer <你的JWT令牌字符串>

不过有些项目会简化成直接放令牌，这完全看服务端的验证逻辑是怎么约定的——服务端会对应去解析这个头的内容。

3. 服务端怎么验证这个字段 #

当你的Ionic客户端发送createTodo请求到服务端时：

• 服务端第一步会从请求头里取出Authorization的值
• 然后用预先约定好的密钥（如果是非对称加密的JWT就用公钥）验证令牌的合法性：
  • 检查令牌有没有过期（JWT里自带exp过期时间字段）
  • 校验令牌的签名是否正确，防止令牌被篡改
• 如果验证通过，服务端就知道这是已认证的用户，还能从令牌里解析出用户ID、权限这类信息，接着处理创建待办的请求；要是验证失败，就会返回401 Unauthorized错误，拒绝这个请求。

4. 你代码里的核心点 #

你代码里的this.authService.token，应该是客户端登录成功后存在authService里的令牌，每次发起需要权限的请求时，就把它加到Authorization头里，相当于给请求“贴”上了用户的身份凭证，让服务端能识别是谁在发起请求。

内容的提问来源于stack exchange，提问作者davidesp