1.背景介绍
传统身份验证的方法
HTTP 是一种没有状态的协议，也就是它并不知道是谁是访问应用。
当用户请求登录的时候，如果没有问题，我们在服务端生成一条记录，这个记录里可以说明一下登录的用户是谁，然后把这条记录的 ID 号发送给客户端，客户端收到以后把这个 ID 号存储在 Cookie里，下次这个用户再向服务端发送请求的时候，可以带着这个Cookie，这样服务端会验证一个这个 Cookie里的信息，看看能不能在服务端这里找到对应的记录，如果可以，说明用户已经通过了身份验证，就把用户请求的数据返回给客户端。(Session)
2.知识剖析
基于 Token 的身份验证方法
使用基于 Token 的身份验证方法，在服务端不需要存储用户的登录记录。
Token身份验证基本流程
1). 客户端使用用户名跟密码请求登录
2). 服务端收到请求，去验证用户名与密码
3). 验证成功后，服务端会签发一个 Token，再把这个 Token 发送给客户端
4). 客户端收到 Token 以后可以把它存储起来，比如放在 Cookie 里或者 Local Storage 里
5). 客户端每次向服务端请求资源的时候需要带着服务端签发的 Token
6). 服务端收到请求，然后去验证客户端请求里面带着的Token，如果验证成功，就向客户端返回请求的数据
JWT——实施验证Token的标准方法
JWT 标准的 Token 有三个部分：
header
payload
signature
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9
.eyJpc3MiOiJuaW5naGFvLm5ldCIsImV4cCI6IjE0Mzg5N
TU0NDUiLCJuYW1lIjoid2FuZ2hhbyIsImFkbWluIjp0cnVlfQ
.SwyHTEx_RQppr97g4J5lKXtabJecpejuef8AqKYMAJc
header 部分
1、 Token 的类型
2、 使用的算法
{
"typ": "JWT",
"alg": "HS256"
}
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9
Payload 部分（载荷）
1、 sub: 该JWT所面向的用户
2、 iss: 该JWT的签发者
3、 iat(issued at): 在什么时候签发的token
4、 exp(expires): token什么时候过期
5、 nbf(not before)：token在此时间之前不能被接收处理
6、 jti：JWT ID为web token提供唯一标识
Signature 部分（签名）
1、 用 Base64 编码的 header.payload
2、 加密算法加密（将密钥存储在服务端）
3.编码实战
4.常见问题&更多讨论
1、 用户匹配
服务端在生成token时，加入少量的用户信息，比如用户的id。服务端接收到token之后，可以解析出这些数据，从而将token和用户关联了起来。
2、 防伪造
建议放入token的数据是不敏感的数据，这样只要服务端使用私钥对数据生成签名，然后和数据拼接起来，作为token的一部分即可
基于加密的算法，对数据进行加密，把加密的结果作为token
3、 防冒充
1) 加干扰码
服务端在生成token时，使用了客户端的UA作为干扰码对数据加密，客户端进行请求时，会同时传入token、UA，服务端使用UA对token解密，从而验证用户的身份。
2) 有效期
给token加上有效期，即使被冒充也只是在一定的时间段内有效。每次服务端接收到请求，解析token之后，判断是否已过期，如果过期就拒绝服务。
4.什么是UA
User Agent中文名为用户代理，简称 UA，它是一个特殊字符串头，使得服务器能够识别客户使用的操作系统及版本、CPU 类型、浏览器及版本、浏览器渲染引擎、浏览器语言、浏览器插件等。
一些网站常常通过判断 UA 来给不同的操作系统、不同的浏览器发送不同的页面，因此可能造成某些页面无法在某个浏览器中正常显示，但通过伪装 UA 可以绕过检测。
网友评论