一、Session认证与Token认证
1.1 传统的session认证
http协议本身是一种无状态的协议，而这就意味着如果用户向我们的应用提供了用户名和密码来进行用户认证，那么下一次请求时，用户还要再一次进行用户认证才行，因为根据http协议，我们并不能知道是哪个用户发出的请求，所以为了让我们的应用能识别是哪个用户发出的请求，我们只能在服务器存储一份用户登录的信息，这份登录信息会在响应时传递给浏览器，告诉其保存为cookie,以便下次请求时发送给我们的应用，这样我们的应用就能识别请求来自哪个用户了,这就是传统的基于session认证。
但是这种基于session的认证使应用本身很难得到扩展，随着不同客户端用户的增加，独立的服务器已无法承载更多的用户，而这时候基于session认证应用的问题就会暴露出来.
1.2 基于session认证所显露的问题
Session: 每个用户经过我们的应用认证之后，我们的应用都要在服务端做一次记录，以方便用户下次请求的鉴别，通常而言session都是保存在内存中，而随着认证用户的增多，服务端的开销会明显增大。
扩展性: 用户认证之后，服务端做认证记录，如果认证的记录被保存在内存中的话，这意味着用户下次请求还必须要请求在这台服务器上,这样才能拿到授权的资源，这样在分布式的应用上，相应的限制了负载均衡器的能力。这也意味着限制了应用的扩展能力。
CSRF: 因为是基于cookie来进行用户识别的, cookie如果被截获，用户就会很容易受到跨站请求伪造的攻击。
1.3 基于token的鉴权机制
基于token的鉴权机制类似于http协议也是无状态的，它不需要在服务端去保留用户的认证信息或者会话信息。这就意味着基于token认证机制的应用不需要去考虑用户在哪一台服务器登录了，这就为应用的扩展提供了便利。
流程上是这样的：
- 用户使用用户名密码来请求服务器
- 服务器进行验证用户的信息
- 服务器通过验证发送给用户一个token
- 客户端存储token，并在每次请求时附送上这个token值
- 服务端验证token值，并返回数据
这个token必须要在每次请求时传递给服务端，它应该保存在请求头里， 另外，服务端要支持CORS(跨来源资源共享)策略，一般我们在服务端这么做就可以了Access-Control-Allow-Origin: *。
二、JWT简介
1.1 概述
Json web token (JWT), 是为了在网络应用环境间传递声明而执行的一种基于JSON的开放标准（RFC 7519).该token被设计为紧凑且安全的，特别适用于分布式站点的单点登录（SSO）场景。JWT的声明一般被用来在身份提供者和服务提供者间传递被认证的用户身份信息，以便于从资源服务器获取资源，也可以增加一些额外的其它业务逻辑所必须的声明信息，该token也可直接被用于认证，也可被加密。
1.2 JWT的样子
JWT是由三段信息构成的，将这三段信息文本用.链接一起就构成了Jwt字符串。就像这样:
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ
**
1.3 JWT的构成
第一部分我们称它为头部（header),第二部分我们称其为载荷（payload, 类似于飞机上承载的物品)，第三部分是签证（signature)。
**
1.3.1 header
jwt的头部承载两部分信息：
- 声明类型，这里是jwt
- 声明加密的算法 通常直接使用 HMAC SHA256
完整的头部就像下面这样的JSON：
{'typ': 'JWT','alg': 'HS256'}
然后将头部进行base64加密（该加密是可以对称解密的)，构成了第一部分：
eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9
**
1.3.2 playload
载荷就是存放有效信息的地方。这个名字像是特指飞机上承载的货品，这些有效信息包含三个部分
- 标准中注册的声明
- 公共的声明
- 私有的声明
标准中注册的声明 (建议但不强制使用) ：
- iss: jwt签发者
- sub: jwt所面向的用户
- aud: 接收jwt的一方
- exp: jwt的过期时间，这个过期时间必须要大于签发时间
- nbf: 定义在什么时间之前，该jwt都是不可用的.
- iat: jwt的签发时间
- jti: jwt的唯一身份标识，主要用来作为一次性token,从而回避重放攻击。
公共的声明 ：
公共的声明可以添加任何的信息，一般添加用户的相关信息或其他业务需要的必要信息.但不建议添加敏感信息，因为该部分在客户端可解密.
私有的声明 ：
私有声明是提供者和消费者所共同定义的声明，一般不建议存放敏感信息，因为base64是对称解密的，意味着该部分信息可以归类为明文信息。
定义一个payload:
{"sub": "1234567890","name": "John Doe","admin": true}
然后将其进行base64加密，得到Jwt的第二部分：
eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9
**
1.3.3 signature
jwt的第三部分是一个签证信息，这个签证信息由三部分组成：
- header (base64加密后的)
- payload (base64加密后的)
- secret
这个部分需要base64加密后的header和base64加密后的payload使用.连接组成的字符串，然后通过header中声明的加密方式进行加盐secret组合加密，然后就构成了jwt的第三部分。
将这三部分用.连接成一个完整的字符串,构成了最终的jwt：
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ
注意：secret是保存在服务器端的，jwt的签发生成也是在服务器端的，secret就是用来进行jwt的签发和jwt的验证，所以，它就是你服务端的私钥，在任何场景都不应该流露出去。一旦客户端得知这个secret, 那就意味着客户端是可以自我签发jwt了。
三、项目实例
3.1 模块结构
3.2 导入依赖
<dependency><groupId>io.jsonwebtoken</groupId><artifactId>jjwt</artifactId><version>0.9.1</version></dependency>
3.3 编写配置文件
application.properties：
server.port=9006
spring.application.name=ticket-auth
audience.clientId=098f6bcd4621d373cade4e832627b4f6
audience.base64Secret=MDk4ZjZiY2Q0NjIxZDM3M2NhZGU0ZTgzMjYyN2I0ZjY=
audience.name=woniuxy
#24小时
audience.expiresSecond=86400000
3.4 编写实体类
实体类读取配置文件中的属性
@ConfigurationProperties(prefix = "audience")
@Component
@Getter
@Setter
public class Audience {
private String clientId;
private String base64Secret;
private String name;
private int expiresSecond;
}
3.5 编写工具类
import io.jsonwebtoken.*;
import lombok.extern.slf4j.Slf4j;
import javax.crypto.spec.SecretKeySpec;
import javax.xml.bind.DatatypeConverter;
import java.security.Key;
import java.util.Date;
/**
* 处理JWT的工具类
*/
@Slf4j
public class JwtUtil {
public static String createJWT(int id, String account, Audience audience) {
try {
// 使用HS256加密算法
SignatureAlgorithm signatureAlgorithm = SignatureAlgorithm.HS256;
long nowMillis = System.currentTimeMillis();
Date now = new Date(nowMillis);
// 生成签名密钥
byte[] apiKeySecretBytes = DatatypeConverter.parseBase64Binary(audience.getBase64Secret());
Key signingKey = new SecretKeySpec(apiKeySecretBytes, signatureAlgorithm.getJcaName());
// userId是重要信息，进行加密下
// String encryId = Base64Util.encode(userId);
// 添加构成JWT的参数
JwtBuilder builder = Jwts.builder().setHeaderParam("typ", "JWT")
// 可以将基本不重要的对象信息放到claims
.claim("account", account).claim("id", id)
// .setSubject(username) // 代表这个JWT的主体，即它的所有人
.setIssuer(audience.getClientId()) // 代表这个JWT的签发主体；
.setIssuedAt(new Date()) // 是一个时间戳，代表这个JWT的签发时间；
.setAudience(audience.getName()) // 代表这个JWT的接收对象；
.signWith(signatureAlgorithm, signingKey);
// 添加Token过期时间
int TTLMillis = audience.getExpiresSecond();
if (TTLMillis >= 0) {
long expMillis = nowMillis + TTLMillis;
Date exp = new Date(expMillis);
builder.setExpiration(exp) // 是一个时间戳，代表这个JWT的过期时间；
.setNotBefore(now); // 是一个时间戳，代表这个JWT生效的开始时间，意味着在这个时间之前验证JWT是会失败的
}
// 生成JWT
return builder.compact();
} catch (Exception e) {
log.error("签名失败", e);
// throw new CustomException(ResultCode.PERMISSION_SIGNATURE_ERROR);
}
return "";
}
public static boolean parseJwt(String jsonWebToken, String base64Security) {
try {
Jwts.parser().setSigningKey(DatatypeConverter.parseBase64Binary(base64Security))
.parseClaimsJws(jsonWebToken).getBody();
return true;
} catch (ExpiredJwtException eje) {
log.error("===== Token过期 =====", eje);
// throw new RuntimeException();
eje.printStackTrace();
return false;
} catch (Exception e) {
log.error("===== token解析异常 =====", e);
// throw new CustomException(ResultCode.PERMISSION_TOKEN_INVALID);
e.printStackTrace();
return false;
}
}
/**
* 从Token获取用户的账号
*
* @param token
* @param base64Security
* @return
*/
public static String getAccount(String token, String base64Security) {
Claims claims = Jwts.parser().setSigningKey(DatatypeConverter.parseBase64Binary(base64Security))
.parseClaimsJws(token).getBody();
return claims.get("account", String.class);
}
public static Integer getUserId(String token, String base64Security) {
Claims claims = Jwts.parser().setSigningKey(DatatypeConverter.parseBase64Binary(base64Security))
.parseClaimsJws(token).getBody();
return claims.get("id", Integer.class);
}
}
3.6 UserController
注意前后端分离需要配置跨域，最好单独配置，这里用注解方便测试
@CrossOrigin(exposedHeaders = "*")
@RestController
@RequestMapping("user")
public class UserController {
@Resource
private Audience audience;
@PostMapping("login")
public ResponseResult<Void> login(String account, String password, HttpServletResponse response) {
int id = 1;
//产生jwt
String jwt = JwtUtil.createJWT(id, account, audience);
response.setHeader("Authorization", jwt);
return new ResponseResult().success();
}
@PostMapping("/addorder")
public ResponseResult addOrder(@RequestHeader("jwt") String jwt){
if(JwtUtil.parseJwt(jwt,audience.getBase64Secret())){
int id = JwtUtil.getUserId(jwt,audience.getBase64Secret());
String account = JwtUtil.getAccount(jwt,audience.getBase64Secret());
System.out.println("id = " + id);
System.out.println("account = " + account);
return new ResponseResult().success();
}
return new ResponseResult().error();
}
}
3.7 前端页面发起请求
3.7.1 登录页
<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="UTF-8">
<meta name="viewport" content="width=device-width, initial-scale=1.0">
<title>Document</title>
<script src="jquery.min.js"></script>
<script>
$(function () {
$("#loginBtn").click(function(){
let data = {
"account":$("#account").val(),
"password":$("#password").val()
}
$.post("http://localhost:9006/user/login",data,function(r,n,xhq){
if(r.statusCode === 200){
localStorage.setItem("jwt",xhq.getResponseHeader("Authorization"));
location.href="index.html";
}
})
})
})
</script>
</head>
<body>
<input type="text" id="account"><br>
<input type="text" id="password"><br>
<input type="button" value="登录" id="loginBtn">
</body>
</html>
3.7.2 首页
<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="UTF-8">
<meta name="viewport" content="width=device-width, initial-scale=1.0">
<title>Document</title>
<script src="jquery.min.js"></script>
<script>
$(function(){
$("#orderBtn").click(function(){
$.ajax({
type: "post",
url: "http://localhost:9006/user/addorder",
dataType: "json",
headers: {'jwt':localStorage.getItem("jwt")},
success: function (r) {
console.log(r);
}
});
});
})
</script>
</head>
<body>
首页
<button id="orderBtn">下订单</button>
</body>
</html>
3.8 测试
点击登录后后台获取到数据
通过后端生成JWT
通过请求头传入前端
然后通过前端代码将生成的JWT存入LocalStorage
此时点击下订单，后台可以通过JwtUtil.getUserId和JwtUtil.getAccount获取数据
能够拿到数据就能够进行其他操作
若有收获，就点个赞吧
0 人点赞
