通用开发技能系列：Authentication、OAuth、JWT 认证策略

已于 2024-04-04 22:31:58 修改
阅读量1.1k 收藏 9
点赞数 18
分类专栏： 云原生学习专栏 文章标签： golang 开发语言 后端 Authorization 认证 Outh2 JWT
于 2024-04-01 21:41:25 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/a1369760658/article/details/137246789
版权

云原生学习路线导航页（持续更新中）

本文是 通用开发技能系列 文章，主要对编程通用技能 Authentication、OAuth、JWT 认证策略 进行学习

1.Basic Authentication认证

  • 每个请求都需要将 用户名+密码 进行base64编码后，放在请求头的Authorization中，携带到服务端，实现HTTP基本认证
  • HTTP明码传输，不安全。一般会用HTTPS传输
  • HTTPS 在 HTTP 基础上面添加了 SSL 安全证书。但如果有人伪造CA证书，也可能造成不安全，用户名和密码直接放在请求里，太不安全了

2.OAuth认证

  • OAuth（Open Authorization）是一个用于授权的开放网络标准，允许用户授权第三方应用去访问他们存储在另外的服务提供者上的信息，而不需要将用户名和密码提供给第三方移动应用或分享他们数据的所有内容。

  • 目前主流的 第三方应用登陆，都是使用OAuth标准做的

  • OAuth标准目前大多使用2.0版本

  • OAuth2.0授权模式（授权码模式和密码模式比较常用）

    • 授权码模式（authorization code）
    • 简化模式（implicit）
    • 密码模式（resource owner password credentials）
    • 客户端模式（client credentials）
      在这里插入图片描述

  • 更多知识学习博客

3.JWT认证

3.1.JWT是什么

  • JSON Web Token (JWT) 是一个开放标准(RFC 7519)，它定义了一种紧凑的、自包含的方式，用于作为JSON对象在各方之间安全地传输信息。该信息可以被验证和信任，因为它是数字签名的。
  • 本质上来说，jwt 就是规定了一种token的格式，按照 jwt 标准生成的 token，包含3部分：header、playload、signature，每一部分都有自己的功能，因此这种token自身就携带了多种特性。

3.2.JWT的3个组成部分

  • JWT包含3部分：
    • header
      • 头部，公开的，表示这是jwt的数据。这部分会使用base64url编码，会把编码成base64后的数据中的 “+、=、/” 替换掉，这样就可以把jwt生成的token拼接在 请求的url 参数上，用于浏览器禁止cookie时使用
    • playload
      • 有效载荷，可以携带一些数据，但是不要放私密数据。这部分都是base64编码，可以解密，相当于明文
    • signature
      • 验证签名，是用来验证发送者的JWT，同时也能确保客户端传来的JWT没有被篡改
      • signature 如何鉴别客户端带过来的Token是正确的？
        • signature 是 服务端在生成token时，使用 密钥secret，对header+playload进行加密，得到的验证签名。
        • 如果 下一次请求带来的token，拿着header+playload再次进行密钥加密，得到的signature不同，说明 数据被别人篡改了。如果加密后值相等，说明没有篡改。
  • 因此，JWT标准生成的Token，实际上并不是安全的，内部都使用base64编码，也相当于明文，但是有 signature 判断数据是否被修改过

3.3.JWT的优缺点

  • JWT优点：
    • json的通用性，所以JWT是可以进行跨语言支持的。很多语言都可以使用 json 传输
    • 有了payload部分，所以JWT可以在自身存储一些其他业务逻辑所必要的非敏感信息。
    • 便于传输，jwt的构成非常简单，字节占用很小
    • 不需要在服务端保存会话信息, 所以它易于应用的扩展，不用考虑服务器之间的同步问题
  • JWT缺点：
    • 不应该在jwt的payload部分存放敏感信息，因为该部分是客户端可解密的部分。
    • 一定得保护好服务端的secret私钥，该私钥非常重要。

3.4.使用 JWT + Redis 验证用户信息的过程

  • 在用户登陆成功时，服务端使用 JWT 的密钥，为该用户生成一个token。把userId存入载荷中，将token返回给前端。同时，我们会在redis中维护一个Hash表，键为token值，值为user的从数据库中查到的详细信息。
  • 下次用户再访问其他资源的时候，将token以 cookie、请求头的Authorization字段 或 url参数 的 方式一起发给服务端。
  • 服务端中，我们会在网关Gateway验证用户的登录状态。
    • 从request中取出token，使用 jwt 密钥尝试解密，如果发现 token 的 header+playload 再次加密后得到的 signature 与 token 中的 signature不再一样，说明数据被篡改了，就会拒绝服务
    • 如果验证通过，就会从载荷中取出我们事先放入的userId，将userId存到请求中，再把该请求放行。
    • 后续如果需要使用用户的详细信息，直接从请求头中获取userId，就可以到redis中查到详细信息。
grahamzhu
关注
  • 18
    点赞
  • 踩
  • 9
    收藏
    觉得还不错? 一键收藏
  • 2
    评论
专栏目录
OAuth2:使用JWT和加密签名
冲出仁川，走出马德里，故事还会再继续
03-05 5018
OAuth2:使用JWT和加密签名1、简介2、使用JWT以及对称密钥签名的令牌2.1 使用JWT2.2 实现授权服务器以颁发JWT2.2.1 项目依赖2.2.2 配置JwtTokenStore2.2.3 为授权服务器配置用户管理2.2.4 启动项目获取访问令牌2.3 实现使用JWT的资源服务器2.3.1 项目依赖2.3.2 添加测试端点2.3.3 资源服务器的配置类2.3.4 测试3、使用通过JWT和非对称密钥签名的令牌3.1 什么是非对称密钥对？3.2 生成密钥对3.3 实现使用私钥的授权服务器3.3.1
http基本认证Authentication OAuth JWT
focus on security
06-29 1123
Authentication： http是一种无状态的协议， 浏览器和web server可以通过cookie来识别身份。 应用程序一般不会使用cookie识别身份，通常是把 "用户名+密码"用BASE64编码放在请求头的Authorization中发送给服务端， 这种方式叫HTTP基本认证(Basic Authentication)。 1.client发送http request到web server 。 2.request中没有包含Authorization头, web server返回一个4.
Spring Security OAuth2 JWT认证服务器配置
OceanSky的专栏
07-16 3227
1.四种授权模式 授权码模式 密码模式 客户端模式 简化模式 2.密码模式 http://localhost:9001/oauth/token?username=user&password=user&grant_type=password&client_id=client&client_secret=secret grant_type:授权类型，必选，此处固...
用户认证(Authentication)进化之路：由Basic Auth到Oauth2再到jwt
刘悦的技术博客
05-11 2251
虽然基本认证非常容易实现，但该方案创建在以下的假设的基础上，即：客户端和服务器主机之间的连接是安全可信的。所以，如果有人对头部以及载荷的内容解码之后进行修改，再进行编码的话，那么新的头部和载荷的签名和之前的签名就将是不一样的。而且，如果不知道服务器加密的时候用的密钥的话，得出来的签名也一定会是不一样的。它自身（在 payload 中）就包含了所有与用户相关的验证消息，如用户可访问路由、访问有效期等信息，服务器无需再去连接数据库验证信息的有效性，并且 payload 支持为你的应用而定制化。
Spring Security OAuth2.0认证授权三：使用JWT令牌
皮球
08-31 501
Spring Security OAuth2.0认证授权三：使用JWT令牌
Spring Cloud：认证 授权 OAuth2、JWT
泛泛之素
06-09 6853
OAuth2 OAuth2是当前授权的行业标准，其重点在于为Web应用程序、桌面应用程序、移动设备以及室内设备的授权流程提供简单的客户端开发方式。它为第三方应用提供对HTTP服务的有限访问，既可以是资源拥有者通过授权允许第三方应用获取HTTP服务，也可以是第三方以自己的名义获取访问权限。 角色 OAuth2中主要分为了4种角色： Resource Owner（资源所有者），是能够对受保护的资源授予访问权限的实体，可以是一个用户，这时会称为终端用户（end-user）。 Resource Server（资源
110、Rust编程：JWT与OAuth2.0认证授权实践
silenceallat的博客
04-24 708
本文主要介绍了在Rust编程语言中实现基于JWT和OAuth2.0的认证与授权的实践方法。首先讲解了JWT的基本原理和如何在Rust中生成、验证JWT token。接着，详细阐述了OAuth2.0的授权码流程，并给出了一个Rust web应用程序的示例，展示了如何获取授权码、交换访问令牌，并使用访问令牌访问受保护的资源。本文旨在帮助读者掌握在Rust中实现安全认证与授权的基本技能。
Spring Cloud Security：Oauth2结合JWT使用
Lyndon的专栏
09-22 1154
Spring Cloud Security：Oauth2结合JWT使用
OAuth2+JWT认证
qq_28326501的博客
06-22 628
一：OAuth2认证 思路： 【1】：服务创建及pom文件
warden-jwt_auth:使用Warden进行JWT令牌认证
05-04
您可以在以下系列文章中了解有关此库考虑了哪些安全问题以及有关JWT通用安全用法的信息： 如果您需要的是用于的JWT身份验证库，则最好查看 ，它只是该gem上的一薄层。 安装 gem 'warden-jwt_auth' 然后执行： $ ...
auth：通过oauth2进行身份验证
02-03
auth-通过oauth2，直接和电子邮件进行身份验证 该库提供与Github，Google，Facebook，Microsoft，Twitter，Yandex，Battle.net和Telegram的“社交登录”，以及自定义身份验证提供程序和电子邮件验证。 可以同时...
devise-jwt：具有devise和rails的JWT令牌认证
02-05
您可以在以下系列文章中了解有关此库考虑了哪些安全问题以及有关JWT通用安全用法的信息： devise-jwt只是之上的 ，可将其配置为与和Rails一起使用。 升级说明 v0.7.0 从v0.7.0版开始， Blacklist撤销策略已重命名...
Webapi_JWT_Authentication:使用JWT保护Web API端点
05-27
Asp.Net Web Api的JWT身份验证 更新到.Net Framework 4.7.2和Visual Studio 2019 这是一个用Visual Studio编写的webapi项目，我们将使用保护端点。 有实施OAUTH的先决条件。 您可以在此处了解有关OAUTH的信息 基本...
react-google-oauth2.0:使用OAuth 2.0响应前端登录并集成Rest API后端
03-17
ReactGoogle OAuth 2.0 轻松将Google OAuth 2.0单一登录添加到React应用，并让您的服务器处理您的访问和刷新令牌。 该库可直接与配合使用，并以最少的设置立即提供Google OAuth 2.0集成。 文件： ： 安装 npm ...
Golang | Leetcode Golang题解之第69题x的平方根
weixin_66442839的博客
05-05 428
Golang | Leetcode Golang题解之第69题x的平方根
Go 语言基础之面向对象编程
m0_64261982的博客
04-30 813
Go 语言面向对象，接口
golang内置包里面的sort.Slice 切片排序函数使用示例
最新发布
05-08 82
var s1 = []int{133,144,21,69,83,37,56,38,68,123,23,89,170,8,76,120} // 这个就是要排序的int切片。参数说明 这个函数有2个参数， 第一个是你要进行排序的slice切片，地个要传递一个函数，这个函数就是你要对你的数据进行怎么样的排序。go语言里面用的最多的数据类型应该是切片Slice了， 今天就给大家介绍这个go内置包里面的切片排序函数的使用方法。怎么样，是不是很简单， 其他2个函数用法可参考后面的源码使用。
Golang | Leetcode Golang题解之第67题二进制求和
weixin_66442839的博客
05-04 512
Golang | Leetcode Golang题解之第67题二进制求和
Spring Boot Security OAuth2 JWT完整示例
05-25
Spring Boot Security是一个非常流行的安全框架，可以帮助开发人员实现各种安全功能。其中，OAuth2和JWT是两个非常重要的安全技术，可以用于实现授权和认证。下面是一个基于Spring Boot Security的完整示例，演示如何使用OAuth2和JWT实现安全功能。 1. 创建一个Spring Boot项目 使用Spring Initializr创建一个新的Spring Boot项目，添加以下依赖： - Spring Web - Spring Security - Spring Data JPA - H2 Database - Spring Security OAuth2 - jjwt 2. 添加配置文件 在application.properties文件中添加以下配置： ``` spring.datasource.url=jdbc:h2:mem:testdb spring.datasource.driverClassName=org.h2.Driver spring.datasource.username=sa spring.datasource.password= spring.jpa.database-platform=org.hibernate.dialect.H2Dialect spring.jpa.hibernate.ddl-auto=create-drop spring.h2.console.enabled=true spring.h2.console.path=/h2-console spring.security.oauth2.client.registration.myapp.client-id=myapp spring.security.oauth2.client.registration.myapp.client-secret=myappsecret spring.security.oauth2.client.registration.myapp.scope=read,write spring.security.oauth2.client.provider.myapp.authorization-uri=http://localhost:8080/oauth/authorize spring.security.oauth2.client.provider.myapp.token-uri=http://localhost:8080/oauth/token spring.security.oauth2.client.provider.myapp.user-info-uri=http://localhost:8080/userinfo spring.security.oauth2.client.provider.myapp.user-name-attribute=name ``` 这些配置将用于配置数据源、Hibernate、H2控制台和OAuth2。 3. 创建实体类和仓库 创建一个User实体类，用于表示用户信息： ```java @Entity @Table(name = "user") public class User { @Id @GeneratedValue(strategy = GenerationType.IDENTITY) private Long id; @Column(nullable = false, unique = true) private String username; @Column(nullable = false) private String password; @Column(nullable = false) private String email; // getters and setters } ``` 创建一个UserRepository接口，用于操作User实体类： ```java @Repository public interface UserRepository extends JpaRepository<User, Long> { Optional<User> findByUsername(String username); } ``` 4. 创建用户服务 创建一个UserService接口，用于定义获取用户和创建用户的方法： ```java public interface UserService { User createUser(String username, String password, String email); Optional<User> getUserByUsername(String username); } ``` 创建一个UserServiceImpl实现UserService接口，用于实现上述方法： ```java @Service public class UserServiceImpl implements UserService { @Autowired private UserRepository userRepository; @Autowired private PasswordEncoder passwordEncoder; @Override public User createUser(String username, String password, String email) { User user = new User(); user.setUsername(username); user.setPassword(passwordEncoder.encode(password)); user.setEmail(email); return userRepository.save(user); } @Override public Optional<User> getUserByUsername(String username) { return userRepository.findByUsername(username); } } ``` 5. 配置Spring Security 创建一个WebSecurityConfig类，用于配置Spring Security： ```java @Configuration @EnableWebSecurity public class WebSecurityConfig extends WebSecurityConfigurerAdapter { @Autowired private UserService userService; @Override protected void configure(HttpSecurity http) throws Exception { http.authorizeRequests() .antMatchers("/oauth/**").permitAll() .anyRequest().authenticated() .and() .csrf().disable() .formLogin().disable() .httpBasic().disable() .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS); } @Override protected void configure(AuthenticationManagerBuilder auth) throws Exception { auth.userDetailsService(username -> userService.getUserByUsername(username) .orElseThrow(() -> new UsernameNotFoundException("User not found: " + username))) .passwordEncoder(passwordEncoder()); } @Bean public PasswordEncoder passwordEncoder() { return new BCryptPasswordEncoder(); } } ``` 这个配置类将所有请求都需要进行认证，但是允许OAuth2请求。同时，禁用了CSRF、表单登录、HTTP基本认证和会话管理。 6. 配置OAuth2 创建一个OAuth2Config类，用于配置OAuth2： ```java @Configuration @EnableAuthorizationServer public class OAuth2Config extends AuthorizationServerConfigurerAdapter { @Autowired private AuthenticationManager authenticationManager; @Autowired private UserService userService; @Autowired private PasswordEncoder passwordEncoder; @Override public void configure(ClientDetailsServiceConfigurer clients) throws Exception { clients.inMemory() .withClient("myapp") .secret(passwordEncoder.encode("myappsecret")) .authorizedGrantTypes("authorization_code", "refresh_token") .scopes("read", "write") .redirectUris("http://localhost:8081/login/oauth2/code/myapp"); } @Override public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception { endpoints.authenticationManager(authenticationManager) .userDetailsService(username -> userService.getUserByUsername(username) .orElseThrow(() -> new UsernameNotFoundException("User not found: " + username))) .accessTokenConverter(accessTokenConverter()) .pathMapping("/oauth/token", "/signin"); } @Bean public JwtAccessTokenConverter accessTokenConverter() { JwtAccessTokenConverter converter = new JwtAccessTokenConverter(); converter.setSigningKey("secret"); return converter; } @Bean public TokenStore tokenStore() { return new JwtTokenStore(accessTokenConverter()); } } ``` 这个配置类定义了一个OAuth2客户端，将授权码和刷新令牌作为授权类型，并允许读取和写入作用域。同时，定义了一个端点配置，将认证管理器、用户详情服务、访问令牌转换器和令牌存储配置到端点上。 7. 创建控制器 创建一个UserController类，用于处理用户相关的请求： ```java @RestController @RequestMapping("/users") public class UserController { @Autowired private UserService userService; @PostMapping public User createUser(@RequestBody UserDto userDto) { return userService.createUser(userDto.getUsername(), userDto.getPassword(), userDto.getEmail()); } @GetMapping("/{username}") public User getUser(@PathVariable String username) { return userService.getUserByUsername(username) .orElseThrow(() -> new NotFoundException("User not found: " + username)); } } ``` 这个控制器中定义了创建用户和获取用户的方法。 8. 创建JWT过滤器 创建一个JwtFilter类，用于在请求中验证JWT令牌： ```java public class JwtFilter extends OncePerRequestFilter { private static final String AUTHORIZATION_HEADER = "Authorization"; @Autowired private JwtAccessTokenConverter accessTokenConverter; @Override protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException { String authorizationHeader = request.getHeader(AUTHORIZATION_HEADER); if (authorizationHeader != null && authorizationHeader.startsWith("Bearer ")) { String token = authorizationHeader.substring(7); Authentication authentication = accessTokenConverter.extractAuthentication(token); SecurityContextHolder.getContext().setAuthentication(authentication); } filterChain.doFilter(request, response); } } ``` 这个过滤器会从请求头中获取JWT令牌，并使用令牌转换器验证令牌。如果验证通过，则将用户认证信息存储到Spring Security上下文中。 9. 注册JWT过滤器 在WebSecurityConfig类中，添加以下配置： ```java @Bean public JwtFilter jwtFilter() { return new JwtFilter(); } @Override protected void configure(HttpSecurity http) throws Exception { http.addFilterBefore(jwtFilter(), UsernamePasswordAuthenticationFilter.class); // ... } ``` 这个配置将JwtFilter注册到Spring Security过滤器链中。 10. 创建JWT工具类 创建一个JwtUtils类，用于生成和解析JWT令牌： ```java public class JwtUtils { public static final String SUBJECT = "myapp"; public static String generateToken(User user) { Map<String, Object> claims = new HashMap<>(); claims.put("sub", SUBJECT); claims.put("id", user.getId()); claims.put("username", user.getUsername()); claims.put("email", user.getEmail()); Date now = new Date(); Date expiration = new Date(now.getTime() + 60 * 60 * 1000); return Jwts.builder() .setClaims(claims) .setIssuedAt(now) .setExpiration(expiration) .signWith(SignatureAlgorithm.HS256, "secret") .compact(); } public static Long getUserIdFromToken(String token) { Claims claims = Jwts.parser() .setSigningKey("secret") .parseClaimsJws(token) .getBody(); return claims.get("id", Long.class); } } ``` 这个工具类将用户信息存储到JWT令牌中，并使用HS256算法进行签名。 11. 创建DTO类 创建一个UserDto类，用于接收创建用户的请求： ```java public class UserDto { private String username; private String password; private String email; // getters and setters } ``` 12. 测试 启动应用程序，并使用以下命令创建一个用户： ``` curl -X POST -H 'Content-Type: application/json' -d '{"username":"test","password":"test123","email":"[email protected]"}' http://localhost:8080/users ``` 使用以下命令获取访问令牌： ``` curl -X POST -vu myapp:myappsecret http://localhost:8080/oauth/token -H 'Accept: application/json' -d 'grant_type=authorization_code&code={CODE}&redirect_uri=http://localhost:8081/login/oauth2/code/myapp' ``` 将{CODE}替换为授权码，并将返回的访问令牌用于获取用户信息： ``` curl -H 'Authorization: Bearer {ACCESS_TOKEN}' http://localhost:8080/users/test ``` 将{ACCESS_TOKEN}替换为访问令牌，在请求头中发送即可。 以上就是一个完整的Spring Boot Security OAuth2 JWT示例，演示了如何实现授权和认证。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值