既有适合小白学习的零基础资料,也有适合3年以上经验的小伙伴深入学习提升的进阶课程,涵盖了95%以上软件测试知识点,真正体系化!
由于文件比较多,这里只是将部分目录截图出来,全套包含大厂面经、学习笔记、源码讲义、实战项目、大纲路线、讲解视频,并且后续会持续更新
服务端存储 session ,客户端存储 cookie,其中 cookie 保存的为 sessionID
4、适用场景
适合传统系统独立鉴权
02
JWT
1、JWT是什么?
JSON Web Token(JWT)是一个非常轻巧的规范。这个规范允许我们使用JWT在两个组织之间传递安全可靠的信息。
JWT是一个有着简单的统一表达形式的字符串, 由三部分组成,分别是 header(头部),payload(载荷),signature(签证) 这三部分以小数点连接起来。
头部(Header)
头部用于描述关于该JWT的最基本的信息,例如其类型以及签名所用的算法等。JSON内容要经Base64 编码生成字符串成为Header。
载荷(PayLoad)
payload的五个字段都是由JWT的标准所定义的。
-
iss: 该JWT的签发者
-
sub: 该JWT所面向的用户
-
aud: 接收该JWT的一方
-
exp(expires): 什么时候过期,这里是一个Unix时间戳
-
iat(issued at): 在什么时候签发的
后面的信息可以按需补充。JSON内容要经Base64 编码生成字符串成为PayLoad。
签名(signature)
这个部分header 与 payload通过header中声明的加密方式,使用密钥secret进行加密,生成签名。JWS的主要目的是保证了数据在传输过程中不被修改,验证数据的完整性。但由于仅采用Base64对消息内容编码,因此不保证数据的不可泄露性。所以不适合用于传输敏感数据。
2、总结
-
服务器不再需要存储 session,服务器认证鉴权业务可以方便扩展
-
JWT 并不依赖 cookie,也可以使用 header 传递
-
为减少盗用,要使用 HTTPS 协议传输
3、适用场景:
-
适合做简单的 RESTful API 认证
-
适合一次性验证,例如注册激活链接
03
HTTP Auth Authentication
HTTP 提供一个用于权限控制和认证的通用框架。最常用的HTTP认证方案是HTTP Basic Authentication。
在HTTP协议进行通信的过程中,HTTP协议定义了基本认证过程以允许HTTP服务器对WEB浏览器进行用户身份认证的方法,当一个客户端向HTTP服务器进行数据请求时,如果客户端未被认证,则HTTP服务器将通过基本认证过程对客户端的用户名及密码进行验证,以决定用户是否合法。客户端在接收到HTTP服务器的身份认证要求后,会提示用户输入用户名及密码, 用户输入后,客户端将用户名和密码中间用“:”分隔合并,并将合并后的字符串用BASE64编码,在每次请求数据时,将密文附加于请求头(Request Header)Authorization: Basic XXXXXXX中。
HTTP服务器在每次收到请求包后,根据协议取得客户端附加的用户信息(BASE64编码的用户名和密码),解开请求包,对用户名及密码进行验证,如果用户名及密码正确,则根据客户端请求,返回客户端所需要的数据;否则,返回错误代码或重新要求客户端提供用户名及密码。
总结
通用 HTTP 身份验证框架有多个验证方案使用。不同的验证方案会在安全强度上有所不同。HTTP Auth Authentication 是最常用的 HTTP认证方案,为了减少泄露风险一般要求 HTTPS 协议。
适用场景
一般多被用在内部安全性要求不高的的系统上,例如加了提取码的网盘资源
网上学习资料一大堆,但如果学到的知识不成体系,遇到问题时只是浅尝辄止,不再深入研究,那么很难做到真正的技术提升。
一个人可以走的很快,但一群人才能走的更远!不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人,都欢迎加入我们的的圈子(技术交流、学习资源、职场吐槽、大厂内推、面试辅导),让我们一起学习成长!
45ff00ff254613a03fab5e56a57acb)**
一个人可以走的很快,但一群人才能走的更远!不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人,都欢迎加入我们的的圈子(技术交流、学习资源、职场吐槽、大厂内推、面试辅导),让我们一起学习成长!