使用节点生成API令牌

我正在编写一个将公开API的应用程序。 该应用程序允许人们创build工作区并向其添加用户。 每个用户将有一个唯一的令牌。 当他们进行API调用时,他们将使用该标记(这将标识为使用该工作空间的用户)。

目前我正在这样做:

var w = new Workspace(); // This is a mongoose model w.name = req.body.workspace; w.activeFlag = true; crypto.randomBytes(16, function(err, buf) { if(err){ next(new g.errors.BadError503("Could not generate token") ); } else { var token = buf.toString('hex'); // Access is the list of users who can access it. NOTE that // the token is all they will pass when they use the API w.access = { login: req.session.login, token:token, isOwner: true }; w.save( function(err){ if(err){ next(new g.errors.BadError503("Database error saving workspace") ); 

这是生成API令牌的好方法吗?

由于令牌是名称+工作区,也许我应该做一些像md5(用户名+工作区+ secret_string)…?

       

网上收集的解决方案 "使用节点生成API令牌"

如果你使用的是mongodb只是使用ObjectId,那么我推荐使用这个模块。

生成id很简单

 var hat = require('hat'); var id = hat(); console.log(id); // 1c24171393dc5de04ffcb21f1182ab28 

这段代码如何确保您的令牌是唯一的? 我相信你可能会碰到这个代码的数字。 我相信你需要有一个像socket.io这个提交的序列号。

你也可以使用npm项目,例如:

  • UUIID (v4)
  • 帽子

保证唯一性。

为什么不只是使用UUIDv4,如果你正在寻找一些独特的东西? 如果你对其他types的哈希(如前面提到的帽子是一个不错的select)感兴趣,你可以看看speakeasy – https://github.com/markbao/speakeasy 。 它不仅可以生成随机密钥,而且还可以创build基于时间的双因素身份validation密钥,如果您真的想要增加额外的安全强度。

我认为以下是生成API令牌的最佳解决scheme

  • JWT(Jsonnetworking令牌)
  • Speakeasy – 这会根据基于时间的双重身份validation(例如google authenticator)生成令牌

Speakeasy更安全,因为这个密钥只有一小段时间(例如30秒)