Node.js/Express API认证：Passport JWT与jsonwebtoken差异解析

嘿，我当初刚开始做Express API认证的时候也跟你一样，对着这俩工具一脸懵——感觉都跟JWT有关，为啥一个配置这么麻烦？今天给你掰扯清楚：

核心区别：定位完全不同 #

简单来说：

• jsonwebtoken 是个纯JWT处理工具库，只干JWT的基础活儿
• Passport JWT 是Passport生态下的认证策略，是封装了JWT功能的认证中间件

先看jsonwebtoken能干嘛 #

它的职责非常单一：

• 生成JWT（jwt.sign()）
• 验证JWT的有效性（jwt.verify()）
• 解码JWT获取 payload（jwt.decode()）
• 没有多余的功能，轻量直接，完全聚焦在JWT本身的操作上

如果你只需要手动生成token，或者在某个路由里自己写验证逻辑，用它就够了，不需要引入额外的复杂度。

再看Passport JWT的角色 #

Passport本身是Node.js里的一个认证框架，提供了一套统一的认证接口，支持各种认证方式（本地账号、OAuth、JWT等等）。而Passport JWT就是其中专门处理JWT认证的一个"策略"。

它做的事情是：

1. 封装了jsonwebtoken的核心验证逻辑
2. 和Passport的中间件体系结合，让你可以用passport.authenticate('jwt')这种标准化的方式保护路由
3. 提供了灵活的配置项，比如从请求头/参数里提取token、自定义验证成功后的用户逻辑

它配置复杂的原因，本质是因为要适配Passport的整套机制——毕竟它不是单独用的，得融入Passport的生态里。

怎么选？看你的需求场景 #

选jsonwebtoken的情况 #

• 你的API只需要简单的JWT认证，不需要支持其他认证方式（比如OAuth、账号密码登录）
• 你想完全掌控认证流程的每一步，不想被Passport的框架约束
• 项目规模小，不想引入额外的依赖和配置复杂度

选Passport JWT的情况 #

• 你已经在使用Passport处理其他认证（比如本地登录、Google登录），想统一所有认证逻辑
• 你需要标准化的中间件来批量保护路由，不想重复写token验证的代码
• 未来可能要扩展更多认证方式，Passport的生态可以让你轻松添加新策略

举个直观的代码对比 #

用jsonwebtoken手动验证路由

const jwt = require('jsonwebtoken');

// 自己写验证逻辑
app.get('/protected', (req, res) => {
  // 手动从请求头拿token
  const token = req.headers.authorization?.split(' ')[1];
  if (!token) return res.status(401).send('请提供认证token');
  
  // 手动验证token
  jwt.verify(token, process.env.JWT_SECRET, (err, decoded) => {
    if (err) return res.status(403).send('无效的token');
    // 验证通过，把用户信息挂载到req上
    req.user = decoded;
    res.send(`欢迎访问受保护路由，${req.user.username}`);
  });
});

用Passport JWT保护路由

首先配置Passport策略：

const passport = require('passport');
const JwtStrategy = require('passport-jwt').Strategy;
const ExtractJwt = require('passport-jwt').ExtractJwt;

const opts = {
  // 配置从哪里提取token（这里是Bearer Token）
  jwtFromRequest: ExtractJwt.fromAuthHeaderAsBearerToken(),
  // JWT密钥
  secretOrKey: process.env.JWT_SECRET
};

// 定义验证成功后的逻辑（比如查数据库拿用户信息）
passport.use(new JwtStrategy(opts, (jwtPayload, done) => {
  // 这里可以加数据库查询，比如根据jwtPayload.id找用户
  done(null, jwtPayload); // 把用户信息传给done，后续会挂载到req.user
}));

然后在路由里直接用中间件：

// 用passport的中间件保护路由，不需要自己写验证逻辑
app.get('/protected', passport.authenticate('jwt', { session: false }), (req, res) => {
  res.send(`欢迎访问受保护路由，${req.user.username}`);
});

总结 #

两者都能实现JWT认证的核心目标，但定位不同：jsonwebtoken是底层工具，适合简单场景；Passport JWT是封装后的认证方案，适合需要统一认证体系、多策略支持的项目。如果你的项目只需要JWT认证，用jsonwebtoken更轻便；如果已经在用Passport或者未来要扩展认证方式，Passport JWT会更省心。

内容的提问来源于stack exchange，提问作者picklechips