一、传统用户的身份验证（使用session）
image.png
一般过程如下：
1、用户向服务器发送用户名和密码。
2、服务器验证通过后，将相关信息保存到当前session中。
3、服务器将session_id放到cookie中并返回给用户。
4、用户后续的每个请求都会将cookie中的session_id发送给服务器。
5、服务器收到session_id并对比session中的数据，确认用户身份。
使用session的方式验证身份存在的问题是:
- 每次用户认证通过以后，服务器需要创建一条记录保存用户信息，通常是在内存中，随着认证通过的用户越来越多，服务器的在这里的开销就会越来越大。
- 由于Session是在内存中的，无法支持横向扩展。
- 当我们想要扩展我们的应用，让我们的数据被多个移动设备使用时，我们必须考虑跨资源共享问题。当使用AJAX调用从另一个域名下获取资源时，我们可能会遇到CORS(跨域资源共享)的问题。
- 用户很容易受到CSRF(跨站请求伪造)攻击。
二、解决方法
1、 session广播。
2、 将透明令牌存入cookie，将用户身份信息存入redis。
3、使用自包含令牌，通过客户端保存数据，而服务器不保存会话数据。JWT是这种解决方案的代表。
三、JWT令牌
JWT（JSON Web Tokens）是目前最流行的跨域认证解决方案, 是一个开放式标准(RFC 7519), 用于在各方之间以JSON对象安全传输信息。
详细信息可以查看官方文档：https://www.jsonwebtoken.io/
1、访问令牌的类型
image.png
2、JWT的组成
image.png
该对象为一个很长的字符串，字符之间通过"."分隔符分为三个子串。
每一个子串表示了一个功能块，总共有以下三个部分：JWT头、有效载荷和签名
JWT头
JWT头部分是一个描述JWT元数据的JSON对象，通常如下所示：
{
"typ": "JWT",
"alg": "HS256"
}
typ属性表示令牌的类型，JWT令牌统一写为JWT
alg属性表示签名使用的算法，默认为HMAC SHA256（写为HS256）
最后，使用Base64 URL算法将上述JSON对象转换为字符串保存。
有效载荷（payload/claims）
有效载荷部分，是JWT的主体内容部分，也是一个JSON对象，包含需要传递的数据。 JWT指定七个默认字段供选择。
iss：发行人
exp：到期时间
sub：主题
aud：用户
nbf：在此之前不可用
iat：发布时间
jti：JWT ID用于标识该JWT
在源码中有一个Claims接口定义了对应的默认字段如下：
Claims
除以上默认字段外，我们还可以自定义私有字段，如下例：
{
"sub": "1234567890",
"name": "Helen",
"admin": true
}
请注意，默认情况下JWT是未加密的，任何人都可以解读其内容，因此不要构建隐私信息字段，存放保密信息，以防止信息泄露。JSON对象也使用Base64 URL算法转换为字符串保存。
签名哈希(signature)
签名哈希部分是对上面两部分数据签名，通过指定的算法生成哈希，以确保数据不会被篡改。
首先，需要指定一个密码（secret）。该密码仅仅为保存在服务器中，并且不能向用户公开。然后，使用标头中指定的签名算法（默认情况下为HMAC SHA256）根据以下公式生成签名:
HMACSHA256(base64UrlEncode(header) + "." + base64UrlEncode(claims), secret)
在计算出签名哈希后，JWT头，有效载荷和签名哈希的三个部分组合成一个字符串，每个部分用"."分隔，就构成整个JWT对象。
base64url算法
如前所述，JWT头和有效载荷序列化的算法都用到了Base64URL。该算法和常见Base64算法类似，稍有差别。
作为令牌的JWT可以放在URL中（例如api.example/?token=xxx）。 Base64中用的三个字符
是"+"，"/"和"="，由于在URL中有特殊含义，因此Base64URL中对他们做了替换："="去掉，"+"用"-"替换，"/"用"_"替换，这就是Base64URL算法。
JWT的验证流程
- 用户携带用户名和密码请求访问服务器
- 服务器校验通过后返回一个token给客户端
- 客户端接收服务器返回的token，将其存储在Cookie或localStorage中。
- 此后，客户端将在与服务器交互中都会带token。如果将它存储在Cookie中，就可以自动发送，但是不会跨域，因此一般是将它放入HTTP请求的Header Authorization字段中。当跨域时，也可以将token被放置于POST请求的数据主体中。
- 服务器校验token并返回数据
JWT的原则是在服务器身份验证之后，将生成一个JSON对象并将其发送回用户，如下所示：
{
"sub": "1234567890",
"name": "Helen",
"admin": true
}
之后，当用户与服务器通信时，客户在请求中发回JSON对象。服务器仅依赖于这个JSON对象来标识用户。为了防止用户篡改数据，服务器将在生成对象时添加签名。服务器不保存任何会话数据，即服务器变为无状态，使其更容易扩展。
JWT的优缺点
- JWT不仅可用于认证，还可用于信息交换。善用JWT有助于减少服务器请求数据库的次数。
- 生产的token可以包含基本信息，比如id、用户昵称、头像等信息，避免再次查库
- 存储在客户端，不占用服务端的内存资源
- JWT默认不加密，但可以加密。生成原始令牌后，可以再次对其进行加密。
- 当JWT未加密时，一些私密数据无法通过JWT传输。
- JWT的最大缺点是服务器不保存会话状态，所以在使用期间不可能取消令牌或更改令牌的权限。也就是说，一旦JWT签发，在有效期内将会一直有效。
- JWT本身包含认证信息，token是经过base64编码，所以可以解码，因此token加密前的对象不应该包含敏感信息，一旦信息泄露，任何人都可以获得令牌的所有权限。为了减少盗用，JWT的有效期不宜设置太长。对于某些重要操作，用户在使用时应该每次都进行进行身份验证。
- 为了减少盗用和窃取，JWT不建议使用HTTP协议来传输代码，而是使用加密的HTTPS协议进行传输。
三、java整合JWT
1、添加JWT的依赖
<!-- jwt -->
<dependency>
<groupId>io.jsonwebtoken</groupId>
<artifactId>jjwt</artifactId>
<version>0.9.1</version>
</dependency>
2、创建JWT工具类
import io.jsonwebtoken.Claims;
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;
import java.util.Date;
public class JWTUtil {
public static final String APPSECRET = "123456";
/**
* 生成token
* @param name
* @return
*/
public static String getToken(String name) {
if (name != null) {
String token = Jwts.builder()
// 设置主题
.setSubject("test")
// 设置发布时间
.setIssuedAt(new Date())
// 设置过期时间，这里设置为30分钟后过期
.setExpiration(new Date(System.currentTimeMillis() + 1000 * 60 * 30))
// 设置自定义数据
.claim("name", name)
// 设置加密算法
.signWith(SignatureAlgorithm.HS256, APPSECRET)
// 压缩成字符串形式
.compact();
return token;
}
return null;
}
/**
* 通过token获取有效载荷
* @param token
* @return
*/
public static Claims checkJwt(String token) {
return Jwts.parser()
.setSigningKey(APPSECRET)
// 这里需要注意使用的是 parseClaimsJws 其中还有类似的方法如：parseClaimsJwt
// JWS是 signed JWT 的缩写，JWT加密签名后就是JWS
.parseClaimsJws(token)
.getBody();
}
public static void main(String[] args) {
String token = JWTUtil.getToken("test");
System.out.println(token);
Claims claims = JWTUtil.checkJwt(token);
String name = claims.get("name", String.class);
System.out.println(name);
}
}
查看DefaultJwtBuilder.java的compact方法的源码验证前面所描述的内容，源代码如下：
@Override
public String compact() {
if (payload == null && Collections.isEmpty(claims)) {
throw new IllegalStateException("Either 'payload' or 'claims' must be specified.");
}
if (payload != null && !Collections.isEmpty(claims)) {
throw new IllegalStateException("Both 'payload' and 'claims' cannot both be specified. Choose either one.");
}
if (key != null && keyBytes != null) {
throw new IllegalStateException("A key object and key bytes cannot both be specified. Choose either one.");
}
Header header = ensureHeader();
Key key = this.key;
if (key == null && !Objects.isEmpty(keyBytes)) {
key = new SecretKeySpec(keyBytes, algorithm.getJcaName());
}
JwsHeader jwsHeader;
if (header instanceof JwsHeader) {
jwsHeader = (JwsHeader)header;
} else {
jwsHeader = new DefaultJwsHeader(header);
}
if (key != null) {
jwsHeader.setAlgorithm(algorithm.getValue());
} else {
//no signature - plaintext JWT:
jwsHeader.setAlgorithm(SignatureAlgorithm.NONE.getValue());
}
if (compressionCodec != null) {
jwsHeader.setCompressionAlgorithm(compressionCodec.getAlgorithmName());
}
String base64UrlEncodedHeader = base64UrlEncode(jwsHeader, "Unable to serialize header to json.");
String base64UrlEncodedBody;
if (compressionCodec != null) {
byte[] bytes;
try {
bytes = this.payload != null ? payload.getBytes(Strings.UTF_8) : toJson(claims);
} catch (JsonProcessingException e) {
throw new IllegalArgumentException("Unable to serialize claims object to json.");
}
base64UrlEncodedBody = TextCodec.BASE64URL.encode(compressionCodec.compress(bytes));
} else {
base64UrlEncodedBody = this.payload != null ?
TextCodec.BASE64URL.encode(this.payload) :
base64UrlEncode(claims, "Unable to serialize claims object to json.");
}
// 这里验证了我们上面说的 JWT 的组成内容 JwtParser.SEPARATOR_CHAR='.'
String jwt = base64UrlEncodedHeader + JwtParser.SEPARATOR_CHAR + base64UrlEncodedBody;
if (key != null) { //jwt must be signed:
JwtSigner signer = createSigner(algorithm, key);
String base64UrlSignature = signer.sign(jwt);
jwt += JwtParser.SEPARATOR_CHAR + base64UrlSignature;
} else {
// no signature (plaintext), but must terminate w/ a period, see
// https://tools.ietf.org/html/draft-ietf-oauth-json-web-token-25#section-6.1
jwt += JwtParser.SEPARATOR_CHAR;
}
return jwt;
}
网友评论