0
点赞
收藏
分享

微信扫一扫

关于JWT(Json Web Token)

烟中雯城 2021-09-30 阅读 78
日记本php

1. 用户认证

Json web token 即JWT,一般用于实现用户登录认证,下面我们来区分一下传统的session认证和基于token的认证的区别。

  • 基于session的认证

http协议是一种无状态的协议(每次请求无法保持用户登录状态),如果用户已经提供了用户名和密码认证过,那么下一次请求时,用户还要再一次进行用户认证才行,因为根据http协议,我们并不能知道是哪个用户发出的请求。因此,为了让我们的应用能识别是哪个用户发出的请求,我们只能在服务器存储一份用户登录的信息,这份登录信息会在响应时传递给浏览器,告诉其保存为cookie,以便下次请求时发送给我们的应用,这样我们的应用就能识别请求来自哪个用户了,这就是传统的基于session认证。

这种基于session的认证难以扩展,尤其是用户量增加时,基于session认证应用的问题就会暴露出来:

Session:每个用户经过我们的应用认证之后,我们的应用都要在服务端做一次记录,以方便用户下次请求的鉴别,通常而言session都是保存在内存中,而随着认证用户的增多,服务端的开销会明显增大。

扩展性:用户认证之后,服务端做认证记录,如果认证的记录被保存在内存中的话,这意味着用户下次请求还必须要请求在这台服务器上,这样才能拿到授权的资源,这样在分布式的应用上,相应的限制了负载均衡器的能力。这也意味着限制了应用的扩展能力。

CSRF:因为是基于cookie来进行用户识别的, cookie如果被截获,用户就会很容易受到跨站请求伪造的攻击。

  • 基于token的认证

基于token的鉴权机制类似于http协议也是无状态的,它不需要在服务端去保留用户的认证信息或者会话信息。这就意味着基于token认证机制的应用不需要去考虑用户在哪一台服务器登录了,这就为应用的扩展提供了便利。

2. JWT的结构

JWT是由三段信息构成的,将这三段信息文本用.链接一起就构成了Jwt字符串:

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ

它由三部分组成:头部(header)、载荷(payload),签证(signature)。

  • header

完整的header是下面这样的Json:

{
  "typ": "JWT",
  "alg": "HS256"
}

然后将header进行base64加密(该加密是可以对称解密的),得到了JWT的第一部分:

eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9
  • playload

载荷用于存放有效信息:标准中注册的声明、公共的声明、私有的声明。

定义一个payload:

{
  "sub": "1234567890",
  "name": "John Doe",
  "admin": true
}

然后将其base64加密,得到JWT的第二部分:

eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9
  • signature

这个 signature 需要 base64 加密后的 header 和 base64 加密后的 payload 使用 . 连接组成的字符串,然后通过header中声明的加密方式secret为密钥,进行组合加密,然后就构成了jwt的第三部分:

encodedStr = base64UrlEncode(header) + "." + base64UrlEncode(payload);
signature = HMACSHA256(encodedStr, "secret");
//TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ

将这三部分用.连接成一个字符串,即得到完整的JWT:

 eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ

注意:secret是保存在服务器端的,JWT的生成也在服务端,secret用来进行JWT签发和验证,它是服务端的一个私钥,在任何场景都不应该流露出去。一旦secret被获取,客户端是可以自我签发jwt了,会引发安全问题。

3. 如何应用

一般是在请求头里加入Authorization,并加上Bearer标注:

headers: {
    "Authorization": "Bearer" + token
  }

服务端会验证token,如果验证通过就会返回相应的资源。整个流程就是这样的:

4. 总结

  1. 使用 JWT 不需要在服务端保存会话信息,因此易于扩展;
  2. JWT 中的 payload 部分还可以存储一些额外的自定义的非敏感信息字段;
  3. JWT 的字符串内容为 Json 格式,是可以跨语言通用;
  4. JWT 结构简单、小巧,便于传输。
举报

相关推荐

0 条评论