spring-security

JMT 组成

• 头部

Header(头） 作用：记录令牌类型、签名算法等 例如：{“alg":"HS256","type","JWT}
经过Base64Url编码

• Payload 装载的数据

Payload(有效载荷）作用：携带一些用户信息 例如{"userId":"1","username":"mayikt"}
经过Base64Url编码

Payload 推荐使用声明

iss: jwt签发者
sub: jwt所面向的用户
aud: 接收jwt的一方
exp: jwt的过期时间，这个过期时间必须要大于签发时间
nbf: 定义在什么时间之前，该jwt都是不可用的.
iat: jwt的签发时间
jti: jwt的唯一身份标识，主要用来作为一次性token,从而回避重放攻击.

• 验证签名

Signature(签名）作用：防止Token被篡改、确保安全性 例如 计算出来的签名，一个字符串,
创建签名需要使用编码后的header和payload以及一个秘钥，使用header中指定签名算法进行签名

JWT优缺点

• 优点

1：无需在服务器存放用户的数据，减轻服务器端压力
2：轻量级、json风格比较简单
3：跨语言

• 缺点

1：jwt一旦生成后期无法修改：
2：无法更新jwt有效期
3：无法销毁一个jwt

jwt和token最大的区别

• token：在用户登录后会返回一个tokenid，key：tokenid，value：username，依赖于redis查询数据信息，token存放value数据比较安全
• jwt不需要依赖于服务器端，将数据信息内容直接存放在客户端（浏览器）

accesstoken 获取

api：http://localhost:8080/oauth/token
Code:授权码
grant_type:authorization_code 所选模式
redirect_uri:回调地址
Scope: 作用域

TokenStore

@Bean
    public RedisTokenStore redisTokenStore(){
        RedisTokenStore redisTokenStore = new RedisTokenStore(redisConnectionFactory);
        redisTokenStore.setPrefix("AG:OAUTH:");
        return redisTokenStore;
    }

ResourceServerConfigurerAdapter && WebSecurityConfigurerAdapter

• 配置登陆用户和资源的访问权限

public void configure(HttpSecurity http) throws Exception {
    http.requestMatchers()
            .antMatchers("/login", "/oauth/authorize")
            .and()
            .authorizeRequests()
            .anyRequest().authenticated()
            .and()
            .authorizeRequests().antMatchers("/static/**", "/favicon.ico", "/webjars/**","/client/**")
            .permitAll()
            .and()
            .formLogin().loginPage("/login").permitAll();
}

方法说明

UAA

• User Account and Authentication

Oauth2