JWT学习笔记_01：概念+为什么+认证流程+优缺点

最新推荐文章于 2023-10-13 11:50:32 发布
最新推荐文章于 2023-10-13 11:50:32 发布
阅读量749 收藏 6
点赞数 2
分类专栏： # Java框架&中间件 文章标签： java jwt 编程语言 后端 http
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/A233666/article/details/113243370
版权

JWT学习笔记_上篇

本文基于B站UP主 【编程不良人】 视频教程 【 JWT认证原理、流程整合springboot实战应用,前后端分离认证的解决方案】 进行整理记录，仅用于个人学习/交流使用

视频链接：https://www.bilibili.com/video/BV1i54y1m7cP

官方资料：http://www.baizhiedu.xin

JWT学习笔记上篇：https://blog.csdn.net/A233666/article/details/113243370

JWT学习笔记下篇：https://blog.csdn.net/A233666/article/details/113243454

目录标题

一、什么是JWT

JSON Web Token (JWT) is an open standard (RFC 7519) that defines a compact and self-contained way for securely transmitting information between parties as a JSON object. This information can be verified and trusted because it is digitally signed. JWTs can be signed using a secret (with the HMAC algorithm) or a public/private key pair using RSA or ECDSA. --[摘自官网]

1.官方解释

官网地址:https://jwt.io/introduction/

翻译:JSON Web令牌（JWT）是一个开放标准（RFC 7519），它定义了一种紧凑且自包含的方式，用于在各方之间作为JSON对象安全地传输信息。由于此信息是经过数字签名的，因此可以被验证和信任。可以使用秘密（使用HMAC算法）或使用RSA或ECDSA的公用/专用密钥对对JWT进行签名。

2.通俗解释

JWT简称 JSON Web Token，也就是通过JSON形式作为Web应用中的令牌，用于各方之间安全地将信息作为JSON对象传输，在数据传输的过程中还可以完成数据加密、签名等相关处理。

3.应用场景

1.作为JavaWeb中一个令牌，前端访问后端需要携带一个令牌 【安全验证】

2.不同系统之间进行数据传递，可以进行签名校验 【数据交换】

二、JWT能做什么

1.授权

-这是使用JWT的最常见方案。一旦用户登录，每个后续请求将包括JWT,从而允许用户访问该令牌允许的路由，服务和资源。单点登录是今广泛使用JWT的一项功能。因为它的开销很小并且可以在不同的域中轻松使用

2.信息交换

JSON Web Token是在各方之间安全地传输信息的好方法。因为可以对JWT进行签名（例如，使用公钥/私钥对），所以您可以确保发件人是他们所说的人。此外，由于签名是使用标头和有效负载计算的，因此您还可以验证内容是否遭到篡改。

三、为什么使用JWT

补充：JWT介绍以及和传统Session的区别

基于传统的Session认证

1.认证方式

我们知道， http协议本身是一种无状态的协议，而这就意味着如果用户向我们的应用提供了用户名和密码来进行用户认证，那么下一次请求时，用户还要再一次进行用户认证才行，因为根据http协议，我们并不能知道是哪个用户发出的请求，所以为了让我们的应用能识别是哪个用户发出的请求，我们只能在服务器存储一份用户登录的信息，这份登录信息会在响应时传递给浏览器，告诉其保存为cookie ,以便下次请求时发送给我们的应用，这样我们的应用就能识别请求来自哪个用户了，这就是传统的基于session认证。

2.认证流程

image-20210126110103643

3.暴露问题

  • 1.每个用户经过我们的应用认证之后，我们的应用都要在服务端做一次记录，以方便用户下次请求的鉴别，通常而言session都是保存在内存中,而随着认证用户的增多，服务端的开销会明显增大

  • 2.用户认证之后，服务端做认证记录，如果认证的记录被保存在内存中的话，这意味着用户下次请求还必须要请求在这台服务器上这样才能拿到授权的资源，这样在分布式的应用上，相应的限制了负载均衡器的能力。这也意味着限制了应用的扩展能力。

  • 3.因为是基于cookie来进行用户识别的，cookie如果被截获，用户就会很容易受到跨站请求伪造的攻击。

  • 4.在前后端分离系统中就更加痛苦：如下图所示

    也就是说前后端分离在应用解耦后增加了部署的复杂性。通常用户一次请求就要转发多次。如果用session每次携带sessionid到服务器，服务器还要查询用户信息。同时如果用户很多。这些信息存储在服务器内存中，给服务器增加负担。还有就是CSRF(跨站伪造请求攻击)攻击，session是基于cookie进行用户识别的,cookie如果被截获，用户就会很容易受到跨站请求伪造的攻击。还有就是sessionid就是一个特征值，表达的信息不够丰富。不容易扩展。而且如果你后端应用是多节点部署。那么就需要实现session共享机制。不方便集群应用。

image-20210126110229753

基于JWT认证

image-20210126110739490

1.认证流程

首先，前端通过Web表单将自己的用户名和密码发送到后端的接口。这一过程一般是一个HTTP POST请求。建议的方式是通过SSL加密的传输(https协议)，从而避免敏感信息被嗅探。

后端核对用户名和密码成功后，将用户的id等其他信息作为 JWT-Payload（负载)，将其与头部分别进行Base64编码拼接后签名形成一个JWT。形成的JWT就是一个形同111.zzz.xxx的字符串。

后端将JWT字符串作为登录成功的返回结果返回给前端。前端可以将返回的结果保存在localStorage或sessionStorage上，退出登录时前端删除保存的JWT即可。

前端在每次请求时将JWT放入HTTP Header中的Authorization位。(解决XSS和XSRF问题)

后端检查是否存在，如存在验证JWT的有效性。例如，检查签名是否正确；检查Token是否过期；检查Token的接收方是否是自己(可选)。

验证通过后后端使用JWT中包含的用户信息进行其他逻辑操作，返回相应结果。

2.jwt优势

简洁(Compact)：可以通过URL，POST参数或者在HTTP header发送，因为数据量小，传输速度也很快

自包含(Self-contained)：负载中包含了所有用户所需要的信息，避免了多次查询数据库

因为Token是以JSON加密的形式保存在客户端的，所以JWT是跨语言的，原则上任何web形式都支持。

不需要在服务端保存会话信息，特别适用于分布式微服务。

四、JWT的构成和认证流程

推荐：JWT的构成和优势所在

推荐：JWT的认证流程和优势

token string ====>header.payload.singnature token

1.令牌组成

1.标头(Header)

2.有效载荷(Payload)

3.签名(Signature)

因此，JWT通常如下所示：xxxxx.yyyyy.zzzzz Header.Payload.Signature

2.Header

标头通常由两部分组成∶令牌的类型（即JWT）和所使用的签名算法，例如HMAC SHA256或RSA。它会使用Base64编码组成JWT结构的第一部分。
注意:Base64是一种编码，也就是说，它是可以被翻译回原来的样子来的。它并不是一种加密过程。

{
	"alg" : "HS256",
	"typ" : "JWT"
}

3.Pay load

令牌的第二部分是有效负载，其中包含声明。声明是有关实体(通常是用户）和其他数据的声明。

同样的，它会使用Base64编码组成JWT结构的第二部分

{
    "sub" : "1234567890" ,
    "name" : "John Doe" ,
    "admin" : true
}

4.Signature

前面两部分都是使用Base64进行编码的，即前端可以解开知道里面的信息。Signature 需要使用编码后的 header 和 payload以及我们提供的一个密钥，然后使用header 中指定的签名算法（HS256)进行签名。签名的作用是保证JWT没有被篡改过

如：HMACSHA256(base64UrlEncode(header) + “.” + base64UrlEncode(payload) , secret);

签名目的：

最后一步签名的过程，实际上是对头部以及负载内容进行签名，防止内容被窜改。如果有人对头部以及负载的内容解码之后进行修改，再进行编码，最后加上之前的签名组合形成新的JWT的话，那么服务器端会判断出新的头部和负载形成的签名和JWT附带上的签名是不一样的。如果要对新的头部和负载进行签名，在不知道服务器加密时用的密钥的话，得出来的签名也是不一样的。

信息安全问题

在这里大家一定会问一个问题:Base64是一种编码，是可逆的，那么我的信息不就被暴露了吗?

是的。所以，在JWT中，不应该在负载里面加入任何敏感的数据。在上面的例子中，我们传输的是用户的User ID。这个值实际上不是什么敏感内容，一般情况下被知道也是安全的。但是像密码这样的内容就不能被放在JWT中了。如果将用户的密码放在了JWT中，那么怀有恶意的第三方通过Base64解码就能很快地知道你的密码了。因此JWT适合用于向Web应用传递一些非敏感信息。JWT还经常用于设计用户认证和授权系统，甚至实现Web应用的单点登录。

image-20210126114157164

5.放在一起

输出是三个由点分隔的Base64-URL字符串，可以在HTML和HTTP环境中轻松传递这些字符串，与基于XNL的标准（例如SAML）相比，它更紧凑。

简洁(Compact)：可以通过URL，POST 参数或者在 HTTP header发送，因为数据量小，传输速度快

自包含(Self-contained)：负载中包含了所有用户所需要的信息，避免了多次查询数据库

image-20210126114205374

五、JWT的优缺点

此模块参考：JWT的优缺点

好处

Token相对于Cookie的好处：

支持跨域访问: Cookie是不允许垮域访问的，token支持

无状态： token无状态，session有状态的

去耦: 不需要绑定到一个特定的身份验证方案。Token可以在任何地方生成，只要在 你的API被调用的时候， 你可以进行Token生成调用即可.

更适用于移动应用: Cookie不支持手机端访问的

性能: 在网络传输的过程中，性能更好

基于标准化: 你的API可以采用标准化的 JSON Web Token (JWT). 这个标准已经存在 多个后端库（.NET, Ruby, Java,Python, PHP）和多家公司的支持（如： Firebase,Google, Microsoft）

缺陷

说了那么多token认证的好处，但他其实并没有想象的那么神，token 也并不是没有问题。

1.占带宽 正常情况下要比 session_id 更大，需要消耗更多流量，挤占更多带宽，假如你的网站每月有 10 万次的浏览器，就意味着要多开销几十兆的流量。听起来并不多，但日积月累也是不小一笔开销。实际上，许多人会在 JWT 中存储的信息会更多。

2.无法在服务端注销，那么就很难解决劫持问题

3.性能问题 JWT 的卖点之一就是加密签名，由于这个特性，接收方得以验证 JWT 是否有效且被信任。但是大多数 Web 身份认证应用中，JWT 都会被存储到 Cookie 中，这就是说你有了两个层面的签名。听着似乎很牛逼，但是没有任何优势，为此，你需要花费两倍的 CPU 开销来验证签名。对于有着严格性能要求的 Web 应用，这并不理想，尤其对于单线程环境。

作者：耿鬼不会笑
时间：2021年1月
耿鬼不会笑
关注
  • 2
    点赞
  • 踩
  • 6
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
专栏目录
什么是 JWT? 如何基于 JWT 进行身份验证？
JavaMonsterr的博客
07-08 3473
JWT （JSON Web Token） 是目前最流行的跨域认证解决方案，是一种基于 Token 的认证授权机制。从 JWT 的全称可以看出，JWT 本身也是 Token，一种规范化之后的 JSON 结构的 Token。Token 自身包含了身份验证所需要的所有信息，因此，我们的服务器不需要存储 Session 信息。这显然增加了系统的可用性和伸缩性，大大减轻了服务端的压力。可以看出，JWT 更符合设计 RESTful API 时的「Stateless（无状态）」原则 。并且， 使用 Token 认证可以有
jwt
02-18
JWT研究 介绍 SpringBoot集成JWT实现令牌鉴权 教学视频地址： ://www.bilibili.com/video/av75572951?p 108 SpringBoot集成JWT实现令牌鉴权 完整项目地址： : pom依赖 首先当然是约会pom依赖 < dependency> < groupId> io.jsonwebtoken < / groupId > < artifactId> jjwt < / artifactId > < version> 0.9.0 < / version > < / dependency > 一个简单的小例子 创建令牌 通过使用Jwts.builder（） 在令牌添加一些简单的用户信息 选择一个加密算法 就可以创造出一个令牌 解析令牌 通过J
JWT及鉴权
liu4461431的博客
05-25 4258
JWT及鉴权知识点总结
JWT鉴权-JWT原理
weixin_47906106的博客
07-24 1023
先抛开JWT，回顾一下我们传统的网页，是通过Cookie的方式实现鉴权的，在用户登陆完成后，返回能识别该用户的信息到浏览器的Cookie中，下一次浏览器请求相同域名的时候，会自动把上次从服务器获取的Cookie提交上去，从而实现用户鉴权。关于flask-jwt-extended的讲解就在这里，学会这些，您在前后端分离项目中的鉴权，将没有任何问题。当然，也可以把jwt设置到cookie中，Body中，甚至是请求URL的参数中，但设置在请求头中实际上是最方便的，只要在请求方法中封装好，调用起来非常方便。
JWT - 令牌认证（认证流程和原理、Jwt 工具类、搭配 Redis 使用）
最新发布
CYK_byte的博客
10-13 1万+
1. 首先前端将用户名和密码发送给后端，后端对用户名和密码校验成功后，会将用户 id 和其他信息作为 payload ，然后将其分别进行 Base64 编码，拼接，最后再签名，形成一个 JWT（Token）. 形成的 JWT 就形同 xxx.yyy.zzz 这种结构的字符串.http 协议是一种无状态的协议，也就意味着当用户第一次通过用户名和密码登录成功以后，下一次再请求的时候，用户还需要再进行登录才行，因为根据 http 协议，我们不能知道是哪个用户发出的请求.
boot_shiro_jwt:springboot+shiro+redis+jwt 基于Restful接口用户权限认证
05-14
【标题】"boot_shiro_jwt:springboot+shiro+redis+jwt 基于Restful接口用户权限认证" 涉及的核心技术是将Spring Boot、Apache Shiro、Redis和JSON Web Tokens（JWT）结合，以实现一个现代化的、安全的RESTful API...
React_ShopCart:React + PayPal +登录注册+ Express + MongoDB + JWT刷新
03-21
JWT AccessToken && RefreshToken +仅HTTP cookie 开始 正面： cd app npm install npm start 后退： cd app/backend npm install npm run seedData * <=== Adds data to MonbgoDB database - only run once ...
rainbow_vue:springboot + shiro + jwt + vue全家桶+ redis建造的后台系统脚手架（前端部分）
03-11
springboot + jwt + shiro + vue建造的前端项目 技术交流：QQ--1649471814 项目技术 应用了vue全家桶vue-cli3.0 + vuex axios vue-router elementUi。 项目部署 1.首先安装node和vue的基本环境，自行上网百度。 2.cd...
login_push：vue + koa2 + jwt实现单点登录+ todolist增删改查
02-04
Vue + Koa2使用jwt实现单点登录 :wrapped_gift: 2018-12-17 本次更新README主要是把挂掉的图连接补上 从我个人角度来说，我还是蛮喜欢这样的全栈项目的，实践性很足，不一定要看我的代码，完全可以直接去写一个类似...
my-idea-pool-client::light_bulb::light_bulb:React + Redux + JWT（Auth）+ Formik（Forms）。 存储并排列您的想法
05-13
我的CodementorX创意库 版本1.0.0 创造想法。 排名他们。 让他们发生！ :party_popper: :party_popper: :party_popper: :party_popper: :party_popper: :party_popper: :party_popper: :party_popper: :party_...
JWT基础
qq_55137734的博客
08-24 1433
JWT基础
如何使用JWT进行身份验证与授权
dotNET跨平台
05-05 2162
简介JWT定义了一种紧凑的、自包含的方式，用于作为JSON对象在各方之间安全地传输信息。该信息可以被验证和信任，因为它是数字签名的。工作流程1、用户使用账号、密码登录应用，登录的请求发送到认证服务器。2、认证服务器进行用户验证，然后创建JWT字符串返回给客户端。3、客户端请求接口时，在请求头带上JWT。应用服务器验证JWT合法性，如果合法则继续调用应用接口返回结果。数据结...
JWT快速入门及所需依赖
hhhhhh的博客
12-16 5249
Json web token (JWT), 是为了在网络应用环境间传递声明而执行的一种基于JSON的开放标准（(RFC 7519).该token被设计为紧凑且安全的，特别适用于分布式站点的单点登录（SSO）场景。JWT的声明一般被用来在身份提供者和服务提供者间传递被认证的用户身份信息，以便于从资源服务器获取资源，也可以增加一些额外的其它业务逻辑所必须的声明信息，该token也可直接被用于认证，也可被加密。
vue搭配element获取token登录校验
weixin_45631430的博客
01-06 2529
Vue项目登录页面获取token验证 实现思路 1、第一次登录的时候，前端调后端的登陆接口，发送用户名和密码 2、后端收到请求，验证用户名和密码，验证成功，就给前端返回一个token 3、前端拿到token，将token存储到localStorage和vuex中，并跳转路由页面 4、前端每次跳转路由，就判断 localStroage 中有无 token ，没有就跳转到登录页面，有则跳转到对应路由页...
JWT实现鉴权
柠檬树
03-10 8843
一、前言 JWT全称JSON Web Token，是一种基于JSON的，用于在网络上声明某种主张的令牌(Token)。JWT通常由三部分组成：头信息（header）、消息体（payload）、签名(signature)。 头信息（Header）指定了该JWT使用的签名算法： header = '{"alg":"HS256","typ":"...
JWT依赖
Pan_Yang___的博客
09-04 3605
JWT所需的maven依赖（1.8及以上）
Jwt验证
yyyjuedinging的博客
07-10 1846
json web token 其实就是一个字符串 string令牌1、标头(Header)​ 令牌类型(即jwt) + 使用的签名算法 最后通过Base64编码加密组成字符串变成JWT的一部分。2、有效载荷(Payload)​ 令牌的第二部分，有效负载，包含有关实体和其他数据的声明,除敏感信息，同样使用Base64组码加密组成JWT第二部 分 3、签名(Signature)​ Signature需要使用编码后的header和payload以及我们提供的密钥，再使用header指定的算法(HS256)进行
JWT验证
weixin_34345753的博客
07-04 1863
理解 JSON Web Token（JWT） 验证 JSON Web Token认证的操作指南 在本文中，我们将了解JSON Web Token的全部内容。 我们将从JWT的基本概念开始，然后查看其结构，最后创建一个简单的服务器，它将获取一些数据并将其插入到JWT中。 什么是JSON Web Token？为什么我们需要它？ JSON Web Token（JWT）是一种安全，紧凑且...
基于JWT实现简单的用户登陆验证（超详细）
weixin_47025166的博客
06-20 9486
基于JWT实现简单的用户登陆验证
Spring+Boot+Spring+Security+JWT+实现+RESTful+Api+认证+（一）
09-20
Spring Boot和Spring Security可以很好地结合使用来实现RESTful API的认证。而JWT（JSON Web Token）是一种用于认证和授权的安全传输方式。 要在Spring Boot中实现JWT认证，可以遵循以下步骤： 1. 添加依赖：在`pom.xml`文件中添加以下依赖： ```xml <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-security</artifactId> </dependency> <dependency> <groupId>io.jsonwebtoken</groupId> <artifactId>jjwt</artifactId> <version>0.9.1</version> </dependency> ``` 2. 创建JWT工具类：创建一个JWT工具类来生成和解析JWT。可以使用JJWT库来简化这个过程。 3. 创建认证过滤器：创建一个继承自`OncePerRequestFilter`的认证过滤器，在该过滤器中检查请求中的JWT，并进行认证。 4. 配置Spring Security：将认证过滤器添加到Spring Security的配置中，以便在每个请求到达之前进行JWT认证。 5. 创建登录接口：创建一个登录接口，用于验证用户的身份并生成JWT。 这是一个简单的示例代码，说明如何在Spring Boot中实现JWT认证： ```java // JWT工具类 public class JwtUtils { private static final String SECRET_KEY = "your-secret-key"; private static final long EXPIRATION_TIME = 864_000_000; // 10天 public static String generateToken(Authentication authentication) { UserDetailsImpl userPrincipal = (UserDetailsImpl) authentication.getPrincipal(); Date expirationDate = new Date(System.currentTimeMillis() + EXPIRATION_TIME); return Jwts.builder() .setSubject(userPrincipal.getUsername()) .setIssuedAt(new Date()) .setExpiration(expirationDate) .signWith(SignatureAlgorithm.HS512, SECRET_KEY) .compact(); } public static String getUsernameFromToken(String token) { return Jwts.parser() .setSigningKey(SECRET_KEY) .parseClaimsJws(token) .getBody() .getSubject(); } public static boolean validateToken(String token) { try { Jwts.parser().setSigningKey(SECRET_KEY).parseClaimsJws(token); return true; } catch (SignatureException | MalformedJwtException | ExpiredJwtException | UnsupportedJwtException | IllegalArgumentException e) { return false; } } } // 认证过滤器 public class JwtAuthenticationFilter extends OncePerRequestFilter { @Autowired private UserDetailsService userDetailsService; @Autowired private JwtUtils jwtUtils; @Override protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException { String authorizationHeader = request.getHeader("Authorization"); if (StringUtils.hasText(authorizationHeader) && authorizationHeader.startsWith("Bearer ")) { String token = authorizationHeader.substring(7); if (jwtUtils.validateToken(token)) { String username = jwtUtils.getUsernameFromToken(token); UserDetails userDetails = userDetailsService.loadUserByUsername(username); UsernamePasswordAuthenticationToken authentication = new UsernamePasswordAuthenticationToken(userDetails, null, userDetails.getAuthorities()); authentication.setDetails(new WebAuthenticationDetailsSource().buildDetails(request)); SecurityContextHolder.getContext().setAuthentication(authentication); } } filterChain.doFilter(request, response); } } // Spring Security配置类 @Configuration @EnableWebSecurity public class SecurityConfig extends WebSecurityConfigurerAdapter { @Autowired private UserDetailsService userDetailsService; @Autowired private JwtAuthenticationFilter jwtAuthenticationFilter; @Bean public PasswordEncoder passwordEncoder() { return new BCryptPasswordEncoder(); } @Override protected void configure(AuthenticationManagerBuilder auth) throws Exception { auth.userDetailsService(userDetailsService).passwordEncoder(passwordEncoder()); } @Override protected void configure(HttpSecurity http) throws Exception { http.csrf().disable() .authorizeRequests() .antMatchers("/login").permitAll() .anyRequest().authenticated() .and() .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS); http.addFilterBefore(jwtAuthenticationFilter, UsernamePasswordAuthenticationFilter.class); } } // 登录接口 @RestController public class AuthController { @Autowired private AuthenticationManager authenticationManager; @PostMapping("/login") public ResponseEntity<?> authenticateUser(@RequestBody LoginRequest loginRequest) { Authentication authentication = authenticationManager.authenticate( new UsernamePasswordAuthenticationToken(loginRequest.getUsername(), loginRequest.getPassword()) ); SecurityContextHolder.getContext().setAuthentication(authentication); String token = JwtUtils.generateToken(authentication); return ResponseEntity.ok(new JwtResponse(token)); } } // 登录请求DTO public class LoginRequest { private String username; private String password; // getters and setters } // JWT响应DTO public class JwtResponse { private String token; // constructor and getter } // 用户详情实现类 @Service public class UserDetailsServiceImpl implements UserDetailsService { @Autowired private UserRepository userRepository; @Override public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException { User user = userRepository.findByUsername(username) .orElseThrow(() -> new UsernameNotFoundException("User Not Found with username: " + username)); return UserDetailsImpl.build(user); } } ```

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值