身份认证的三种模式

  1. 单一服务器模式
  • 用户发送服务器密码
  • 服务器验证后保存当前会话session，
  • 返回给客户端session信息，写入用户浏览器Cookie中
  • 之后的每次请求都会通过Cookie发送给服务器，用来确认用户
  • 缺点：单点性能压力，无法扩展，session共享性能存在瓶颈
  • 可以用redis替换session
  1. 单点登录、SSO模式(Single Sign On)

image.png

  • 配置一个认证服务器，用于身份校验，跨服务器访问时将信息发送给认证服务器校验
  • 优点：身份信息独立管理，更好的分布式管理，可以扩展安全策略
  • 缺点：认证服务器访问压力大
  1. Token模式

image.png

  • 用户向服务器发送用户名和密码，验证后将用户信息存入token中（采用JWK令牌），发送给客户端
  • 客户端将token设置到cookie中，每次请求携带cookie
  • 优点：token是无状态的、session是有状态的

  • 缺点：无法在服务器端销毁

    JWT令牌

    JWT是JSON Web Token的缩写，即JSON Web令牌，是一种自包含令牌
    JWT最重要的作用是对token信息的防伪作用
    JWT的原理：

  • JWT是三个部分组成的：JWT头、有效载荷、签名哈希

  • 三者组成后进行base64编码得到JWT

    JWT头

    JWT头部分是一个描述JWT元数据的JSON对象，通常如下所示。

    1. {
    2. "alg": "HS256",
    3. "typ": "JWT"
    4. }

    在上面的代码中，alg属性表示签名使用的算法，默认为HMAC SHA256（写为HS256）；typ属性表示令牌的类型，JWT令牌统一写为JWT。最后，使用Base64 URL算法将上述JSON对象转换为字符串保存。

    有效载荷

    有效载荷部分，是JWT的主体内容部分，也是一个JSON对象，包含需要传递的数据。 JWT指定七个默认字段供选择。

    1. sub: 主题
    2. iss: jwt签发者
    3. aud: 接收jwt的一方
    4. iat: jwt的签发时间
    5. exp: jwt的过期时间，这个过期时间必须要大于签发时间
    6. nbf: 定义在什么时间之前，该jwt都是不可用的.
    7. jti: jwt的唯一身份标识，主要用来作为一次性token,从而回避重放攻击。

    除以上默认字段外，我们还可以自定义私有字段，如下例：

    1. {
    2. "name": "Helen",
    3. "admin": true,
    4. "avatar": "helen.jpg"
    5. }

    请注意，默认情况下JWT是未加密的，任何人都可以解读其内容，因此不要构建隐私信息字段，存放保密信息，以防止信息泄露。
    JSON对象也使用Base64 URL算法转换为字符串保存。

    签名哈希

    签名哈希部分是对上面两部分数据签名，通过指定的算法生成哈希，以确保数据不会被篡改。
    首先，需要指定一个密码（secret）。该密码仅仅为保存在服务器中，并且不能向用户公开。然后，使用标头中指定的签名算法（默认情况下为HMAC SHA256）根据以下公式生成签名。
    HMACSHA256(base64UrlEncode(header) + "." + base64UrlEncode(claims), secret)
    在计算出签名哈希后，JWT头，有效载荷和签名哈希的三个部分组合成一个字符串，每个部分用”.”分隔，就构成整个JWT对象。

    Base64URL算法

    如前所述，JWT头和有效载荷序列化的算法都用到了Base64URL。该算法和常见Base64算法类似，稍有差别。
    作为令牌的JWT可以放在URL中（例如api.example/?token=xxx）。 Base64中用的三个字符是”+”，”/“和”=”，由于在URL中有特殊含义，因此Base64URL中对他们做了替换：”=”去掉，”+”用”-“替换，”/“用”_”替换，这就是Base64URL算法。
    注意：base64编码，并不是加密，只是把明文信息变成了不可见的字符串。但是其实只要用一些工具就可以把base64编码解成明文，所以不要在JWT中放入涉及私密的信息。

    JWT的用法

    客户端接收服务器返回的JWT，将其存储在Cookie或localStorage中。
    此后，客户端将在与服务器交互中都会带JWT。如果将它存储在Cookie中，就可以自动发送，但是不会跨域，因此一般是将它放入HTTP请求的Header Authorization字段中。
    当跨域时，也可以将JWT放置于POST请求的数据主体中。

    JWT问题和趋势

    1、JWT默认不加密，但可以加密。生成原始令牌后，可以使用该令牌再次对其进行加密。
    2、当JWT未加密时，一些私密数据无法通过JWT传输。
    3、JWT不仅可用于认证，还可用于信息交换。善用JWT有助于减少服务器请求数据库的次数。
    4、JWT的最大缺点是服务器不保存会话状态，所以在使用期间不可能取消令牌或更改令牌的权限。也就是说，一旦JWT签发，在有效期内将会一直有效。
    5、JWT本身包含认证信息，因此一旦信息泄露，任何人都可以获得令牌的所有权限。为了减少盗用，JWT的有效期不宜设置太长。对于某些重要操作，用户在使用时应该每次都进行身份验证。
    6、为了减少盗用和窃取，JWT不建议使用HTTP协议来传输代码，而是使用加密的HTTPS协议进行传输。

    代码使用

    1. <dependencies>
    2.   <!-- JWT -->
    3.   <dependency>
    4.       <groupId>io.jsonwebtoken</groupId>
    5.       <artifactId>jjwt</artifactId>
    6.       <version>0.7.0</version>
    7.   </dependency>
    9.   <!--junit-->
    10.   <dependency>
    11.       <groupId>junit</groupId>
    12.       <artifactId>junit</artifactId>
    13.       <version>4.12</version>
    14.   </dependency>
    15. </dependencies>
  1. public class JwtTests {
  2.     private static String tokenSignKey = "higan123"; // 密钥
  3.     @Test
  4.     public void testGetToken() throws InterruptedException {
  5.         String token = createToken("20", "zhangsan");
  6.         while (true) {
  7.             try {
  8.                 Jws<Claims> zhangsan = Jwts.parser()
  9.                         .setSigningKey(tokenSignKey)
  10.                         .parseClaimsJws(token);
  11.                 System.out.println("获取成功，开始打印信息：");
  12.                 Claims body = zhangsan.getBody();
  13.                 System.out.println(body.getSubject());
  14.                 System.out.println(body.getIssuer());
  15.                 System.out.println(body.getAudience());
  16.                 System.out.println(body.getIssuedAt());
  17.                 System.out.println(body.getExpiration());
  18.                 System.out.println(body.getNotBefore());
  19.                 System.out.println(body.getId());
  20.                 System.out.println(body.get("id"));
  21.                 System.out.println(body.get("username"));
  22.                 break;
  23.             } catch (io.jsonwebtoken.PrematureJwtException e) {
  24.                 System.out.println("该token无法使用，一秒后再次尝试获取");
  25.                 // token有5秒的延迟使用时间，需要到时间后才能用
  26.                 TimeUnit.SECONDS.sleep(2);
  27.             }
  28.         }
  29.     }
  30.     public String createToken(String id, String name) {
  31.         long tokenExpiration = 24 * 60 * 60 * 1000;
  32.         // 24小时、60分、60秒、1000毫秒，表一天
  33.         Date nowTime=new Date(); 
  34.         // 签发时间
  35.         Date useTime=new Date(System.currentTimeMillis()+3*1000); 
  36.         // 可用时间
  37.         Date dueTime=new Date(System.currentTimeMillis()+tokenExpiration);
  38.         // 到期时间
  39.         return Jwts.builder()
  40.                 .setHeaderParam("typ", "JWT")   // 令牌类型
  41.                 .setHeaderParam("alg", "HS256") // 签名算法
  42.                 .setSubject("guli-user")    // 令牌主题
  43.                 .setIssuer("atguigu")       // 签发者
  44.                 .setAudience("higan")       // 接收者
  45.                 .setIssuedAt(nowTime)       // 签发时间
  46.                 .setExpiration(dueTime)     // 过期时间
  47.                 .setNotBefore(useTime)      // 2秒后可用
  48.                 .setId(UUID.randomUUID().toString())
  49.                 .claim("id", id)
  50.                 .claim("username", name)
  51.                 .signWith(SignatureAlgorithm.HS256, tokenSignKey) 
  52.                 // 签名哈希
  53.                 .compact(); // 字符串转换
  54.     }
  55. }