第十六章：Node.js登录接口与注册接口实现指南

一、接口设计核心原则

在构建用户认证系统时，需遵循RESTful设计规范，确保接口的幂等性、无状态性和安全性。注册接口应包含用户名、密码、邮箱等必填字段校验，登录接口需处理身份验证与会话管理。建议采用POST方法提交敏感数据，通过HTTPS协议加密传输。

1.1 数据模型设计

使用Mongoose定义用户模型：

const userSchema = new mongoose.Schema({
  username: { type: String, unique: true, required: true },
  password: { type: String, required: true }, // 存储加密后的密码
  email: { type: String, unique: true, validate: /\S+@\S+\.\S+/ },
  createdAt: { type: Date, default: Date.now }
});

1.2 密码安全策略

采用bcrypt进行密码哈希处理：

const bcrypt = require('bcrypt');
const saltRounds = 10;
// 密码加密
const hashedPassword = await bcrypt.hash(plainPassword, saltRounds);
// 密码验证
const isMatch = await bcrypt.compare(inputPassword, hashedPassword);

二、注册接口实现

完整的注册流程包含参数校验、唯一性检查、密码加密和数据库存储四个阶段。

2.1 参数校验中间件

function validateRegistration(req, res, next) {
  const { username, password, email } = req.body;
  if (!username || !password || !email) {
    return res.status(400).json({ error: 'Missing required fields' });
  }
  if (password.length < 8) {
    return res.status(400).json({ error: 'Password must be at least 8 characters' });
  }
  next();
}

2.2 业务逻辑实现

router.post('/register', validateRegistration, async (req, res) => {
  try {
    const { username, password, email } = req.body;
    // 检查用户名/邮箱是否已存在
    const existingUser = await User.findOne({ 
      $or: [{ username }, { email }] 
    });
    if (existingUser) {
      return res.status(409).json({ error: 'Username or email already exists' });
    }
    // 创建新用户
    const hashedPassword = await bcrypt.hash(password, 10);
    const newUser = new User({ username, password: hashedPassword, email });
    await newUser.save();
    res.status(201).json({ message: 'User registered successfully' });
  } catch (error) {
    console.error('Registration error:', error);
    res.status(500).json({ error: 'Internal server error' });
  }
});

三、登录接口实现

登录流程需处理身份验证、令牌生成和会话管理，推荐使用JWT实现无状态认证。

3.1 JWT认证机制

const jwt = require('jsonwebtoken');
const JWT_SECRET = process.env.JWT_SECRET || 'your-secret-key';
function generateToken(userId) {
  return jwt.sign({ userId }, JWT_SECRET, { expiresIn: '1h' });
}

3.2 登录逻辑实现

router.post('/login', async (req, res) => {
  try {
    const { username, password } = req.body;
    // 查找用户
    const user = await User.findOne({ username });
    if (!user) {
      return res.status(401).json({ error: 'Invalid credentials' });
    }
    // 验证密码
    const isMatch = await bcrypt.compare(password, user.password);
    if (!isMatch) {
      return res.status(401).json({ error: 'Invalid credentials' });
    }
    // 生成JWT令牌
    const token = generateToken(user._id);
    res.json({ 
      token,
      user: { id: user._id, username: user.username }
    });
  } catch (error) {
    console.error('Login error:', error);
    res.status(500).json({ error: 'Internal server error' });
  }
});

四、安全增强措施

4.1 速率限制

使用express-rate-limit防止暴力破解：

const limiter = rateLimit({
  windowMs: 15 * 60 * 1000, // 15分钟
  max: 100, // 每个IP限制100个请求
  message: 'Too many requests, please try again later'
});
app.use('/api/auth', limiter);

4.2 CORS配置

const corsOptions = {
  origin: 'https://your-frontend-domain.com',
  methods: ['GET', 'POST'],
  credentials: true
};
app.use(cors(corsOptions));

4.3 安全头设置

使用helmet中间件：

const helmet = require('helmet');
app.use(helmet());

五、测试与验证

5.1 单元测试示例

describe('Auth API', () => {
  it('should register new user', async () => {
    const response = await request(app)
      .post('/register')
      .send({ username: 'testuser', password: 'Password123!', email: 'test@example.com' });
    expect(response.status).toBe(201);
  });
  it('should reject duplicate username', async () => {
    await User.create({ username: 'duplicate', password: 'pass', email: 'dup@example.com' });
    const response = await request(app)
      .post('/register')
      .send({ username: 'duplicate', password: 'pass', email: 'new@example.com' });
    expect(response.status).toBe(409);
  });
});

5.2 集成测试建议

1. 使用Postman测试所有边界条件
2. 验证错误响应格式一致性
3. 检查JWT令牌的有效期和刷新机制

六、部署注意事项

1. 环境变量管理：使用dotenv存储JWT_SECRET等敏感信息
2. 生产环境配置：

   if (process.env.NODE_ENV === 'production') {
     app.set('trust proxy', 1); // 处理反向代理后的IP
   }

3. 日志记录：使用winston或morgan记录认证相关事件

七、扩展功能建议

1. 双因素认证（2FA）集成
2. 社交账号登录（OAuth 2.0）
3. 密码重置流程
4. 账户锁定机制（防止暴力破解）

本实现方案涵盖了从基础认证到安全增强的完整流程，开发者可根据实际需求调整密码复杂度策略、令牌有效期等参数。建议定期更新加密盐值和JWT密钥，遵循最小权限原则设计接口权限。