JWT 是 json web token的简称，本文介绍它的原理，最后后端用nodejs自己实现如何为客户端生成令牌token和校验token

1、为什么需要会话管理

我们用 nodejs 为前端或者其他服务提供 resful 接口时，http 协议他是一个无状态的协议，有时候我们需要根据这个请求的上下获取具体的用户是否有权限，针对用户的上下文进行操作。所以cookies session还有 jwt 这几种技术的出现，都是对HTTP协议的一个补充。使得我们可以用HTTP协议+状态管理构建一个面向用户的WEB应用。

2、session和cookie

session和cookies是有联系的，session就是服务端在客户端cookies种下的session_id，服务端保存session_id所对应的当前用户所有的状态信息。每次客户端请求服务端都带上cookies中的session_id，服务端判断是否有具体的用户信息，如果没有就跳转到登录。

  • cookies安全性不好，攻击者可以通过获取本地cookies进行欺骗或者利用cookies进行CSRF攻击
  • cookies在多个域名下，会存在跨域问题
  • session的信息是保存在服务端上面的，当我们nodejs在stke部署多台计算器的时候，需要解决共享session，所以引出来session持久化问题，所以session不支持分布式架构，无法支持横向扩展，只能通过数据库来保存会话数据实现共享。如果持久层失败会出现认证失败。

3、JWT的定义

jwt是json web token的全称，他解决了session以上的问题，优点是服务器不保存任何会话数据，即服务器变为无状态，使其更容易扩展，什么情况下使用jwt比较合适，我觉得就是授权这个场景，因为jwt使用起来轻便，开销小，后端无状态，所以使用比较广泛。

4、JWT的原理

JWT 的原理是，服务器认证以后，生成一个 JSON 对象，发回给用户，就像下面这样。

  1. {
  3.     "姓名": "张三",
  5.     "角色": "管理员",
  7.     "到期时间": "2018年7月1日0点0分"
  9. }

以后，用户与服务端通信的时候，都要发回这个 JSON 对象。服务器完全只靠这个对象认定用户身份。为了防止用户篡改数据，服务器在生成这个对象的时候，会加上签名。

5、JWT的认证流程

JWT的流程说明：

  1. 浏览器发起请求登陆，携带用户名和密码
  2. 服务端根据用户名和密码到数据库验证身份，根据算法，将用户标识符打包生成 token
  3. 服务器返回JWT信息给浏览器，JWT不应该包含敏感信息，这是很重要的一点
  4. 浏览器发起请求获取用户资料，把刚刚拿到的 token一起发送给服务器，一般放在header里面，字段为authorization
  5. 服务器发现数据中有 token，decode token的信息，然后再次签名，验明正身
  6. 服务器返回该用户的用户资料
  7. 服务器可以在payload设置过期时间， 如果过期了，可以让客户端重新发起验证

6、JWT的数据结构

JWT 包含了使用.风格的三个部分，包含header（头部）、Payload（荷载）以及 Signature（签名）

6.1 Header头部
  1. {"alg": "HS256","typ": "JWT"}
  2. // algorithm => HMAC SHA256// type => JWT

这是固定的写法，alg表面要用的是HS256算法

6.2 Payload负载、载荷

JWT规定了7个官方字段

  1. iss (issuer)：签发人
  2. exp (expiration time)：过期时间
  3. sub (subject)：主题
  4. aud (audience)：受众
  5. nbf (Not Before)：生效时间
  6. iat (Issued At)：签发时间
  7. jti (JWT ID)：编号

除了这七个，可以自定义，比如过期时间

6.3 Signature签名

对前两部分header和payload进行签名，防止数据篡改

  1. HMACSHA256(
  2.   base64UrlEncode(header) + "." +
  3.   base64UrlEncode(payload),
  4.   secret)

secret是一段字符串，后端保存，需要注意的是 JWT 作为一个令牌 token，有些场合可能会放到 URL（比如 api.example.com/?token=xxx）。Base64 有三个字符+、/和=，在 URL 里面有特殊含义，所以要被替换掉：=被省略、+替换成-，/替换成_ 。这就是 Base64URL 算法。

7、jwt使用方式

HTTP 请求的头信息Authorization字段里面, Bearer也是规定好的

  1. Authorization: Bearer <token>

通过url传输（不推荐）

  1. http://www.xxx.com/pwa?token=xxxxx

如果是post请求也可以放在请求体中

8、在koa项目中使用

可以使用现成库，jwt-simple 或者 jsonwebtoken

  1. let Koa = require('koa');
  2. let Router = require('koa-router');
  3. let bodyparser = require('koa-bodyparser');
  4. let jwt = require('jwt-simple');
  5. let router = new Router()
  6. let app = new Koa();
  7. app.use(bodyparser());
  8. // 可以自己自定义
  9. let secret = 'zhenglei';
  10. // 验证是否登陆
  11. router.post('/login',async(ctx)=>{ 
  12.     let {username,password} = ctx.request.body;
  13.     if(username === 'admin' && password === 'admin'){
  14.        // 通常会查数据库，这里简单的演示
  15.        let token =  jwt.encode(username, secret);
  16.        ctx.body = {
  17.             code:200,
  18.             username,
  19.             token,
  20.        }
  21.     }
  22. });
  23. // 验证是否有权限
  24. router.get('/validate',async(ctx)=>{ 
  25.     let Authorization = ctx.get('authorization')
  26.     let [,token] = Authorization.split(' ');
  27.     if(token){
  28.         try{
  29.             let r = jwt.decode(token,secret);
  30.             ctx.body = {
  31.                 code:200,
  32.                 username:r,
  33.                 token
  34.             }
  35.         }catch(e){
  36.             ctx.body = {
  37.                 code:401,
  38.                 data:'没有登陆'
  39.             }
  40.         }
  41.     }else{
  42.         ctx.body = {
  43.             code:401,
  44.             data:'没有登陆'
  45.         }
  46.     }
  48. });
  49. app.use(router.routes());
  50. app.listen(4000);
  1. 实现两个接口 一个是/login 验证是否登录，一个是 validate,验证是否有权限
  2. 请求login接口的时候，客户端带username和password, 后端一般会查数据库，验证是否存在当前用户，如果存在则为username进行签名，千万不要给password这些敏感信息也带进来签名
  3. 客户端接收后端给的token令牌，再请求其他接口，比如这个例子的/validate的时候，ajax请求的时候，可以在header指定authorization字段，后端拿到token进行decode，然后将header和payload进行再一次的签名，如果前后的签名一致，说明没有被篡改过，则权限验证通过。因为是同步的过程，所以可以用try catch来捕捉错误

9、原理的实现

  1. sha256哈希算法，可以用nodejs的内置加密模块crypto, 生成base64字符串，要注意的是生成base64需要为+ - = 做一下替换，=被省略、+替换成-，/替换成_ 。这就是 Base64URL 算法。
  2. token令牌的组成是header, payload和sigin的通过.来组成
  3. base64urlUnescape 的解码是固定写法，decode出base64的内容
    1. let myJwt = {
    2.  sign(content,secret){
    3.      let r = crypto.createHmac('sha256',secret).update(content).digest('base64');
    4.      return this.base64urlEscape(r)
    5.  },
    6.  base64urlEscape(str){
    7.      return str.replace(/\+/g, '-').replace(/\//g, '_').replace(/=/g, '');
    8.  },
    9.  toBase64(content){
    10.      return this.base64urlEscape(Buffer.from(JSON.stringify(content)).toString('base64'))
    11.  },
    12.  encode(username,secret){
    13.      let header = this.toBase64({ typ: 'JWT', alg: 'HS256' });
    14.      let content = this.toBase64(username);
    15.      let sign = this.sign([header,content].join('.'),secret);
    16.      return  [header,content,sign].join('.')
    17.  },
    18.  base64urlUnescape(str) {
    19.      str += new Array(5 - str.length % 4).join('=');
    20.      return str.replace(/\-/g, '+').replace(/_/g, '/');
    21.  },
    22.  decode(token,secret){
    23.      let [header,content,sign] = token.split('.');
    24.      let newSign = this.sign([header,content].join('.'),secret);
    25.      if(sign === newSign){
    26.          return Buffer.from(this.base64urlUnescape(content),'base64').toString();
    27.      }else{
    28.          throw new Error('被篡改')
    29.      }
    30.  }
    31. }

10、JWT的优缺点

  1. JWT默认不加密，但可以加密。生成原始令牌后，可以使用改令牌再次对其进行加密。
  2. 当JWT未加密方法时，一些私密数据无法通过JWT传输。
  3. JWT不仅可用于认证，还可用于信息交换。善用JWT有助于减少服务器请求数据库的次数。
  4. JWT的最大缺点是服务器不保存会话状态，所以在使用期间不可能取消令牌或更改令牌的权限。也就是说，一旦JWT签发，在有效期内将会一直有效
  5. JWT本身包含认证信息，因此一旦信息泄露，任何人都可以获得令牌的所有权限。为了减少盗用，JWT的有效期不宜设置太长。对于某些重要操作，用户在使用时应该每次都进行进行身份验证。
  6. 为了减少盗用和窃取，JWT不建议使用HTTP协议来传输代码，而是使用加密的HTTPS协议进行传输。