JWT及OAuth2

img

一、跨域认证的问题

互联网服务离不开用户认证。一般流程是下面这样。

1、用户向服务器发送用户名和密码。

2、服务器验证通过后,在当前对话(session)里面保存相关数据,比如用户角色、登录时间等等。

3、服务器向用户返回一个 session_id,写入用户的 Cookie。

4、用户随后的每一次请求,都会通过 Cookie,将 session_id 传回服务器。

5、服务器收到 session_id,找到前期保存的数据,由此得知用户的身份。

这种模式的问题在于,扩展性(scaling)不好。单机当然没有问题,如果是服务器集群,或者是跨域的服务导向架构,就要求 session 数据共享,每台服务器都能够读取 session。

举例来说,A 网站和 B 网站是同一家公司的关联服务。现在要求,用户只要在其中一个网站登录,再访问另一个网站就会自动登录,请问怎么实现?

一种解决方案是 session 数据持久化,写入数据库或别的持久层。各种服务收到请求后,都向持久层请求数据。这种方案的优点是架构清晰,缺点是工程量比较大。另外,持久层万一挂了,就会单点失败。

另一种方案是服务器索性不保存 session 数据了,所有数据都保存在客户端,每次请求都发回服务器。JWT 就是这种方案的一个代表。

二、JWT 的原理

JWT 的原理是,服务器认证以后,生成一个 JSON 对象,发回给用户,就像下面这样。

{
    
  "姓名": "张三",
  "角色": "管理员",
  "到期时间": "2018年7月1日0点0分"
}

以后,用户与服务端通信的时候,都要发回这个 JSON 对象。服务器完全只靠这个对象认定用户身份。为了防止用户篡改数据,服务器在生成这个对象的时候,会加上签名(详见后文)。

服务器就不保存任何 session 数据了,也就是说,服务器变成无状态了,从而比较容易实现扩展。

三、JWT 的数据结构</

  • 0
    点赞
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
Spring Security是一个主流的Java Web安全框架,它提供了许多现成的安全功能如身份认证、授权和攻击防护。基于Spring Security,我们可以构建出一个安全可靠的Web应用程序。JWT是一种轻量级的身份实体认证方法。在Web应用程序中,用户登录成功之后,服务器会颁发一个JWT令牌给客户端,客户端每次访问时需要携带这个JWT令牌,服务器通过验证JWT令牌的合法性来认证用户身份。OAuth2.0是一个授权框架,它定义了四种角色:资源所有者、客户端、授权服务器和资源服务器。在OAuth2.0框架下,资源服务器只有在通过授权服务器验证后,才会向客户端提供访问资源的权限。 Spring Security提供了对JWTOAuth2.0的支持。通过集成JWTOAuth2.0,我们可以构建出一个更加安全和灵活的Web应用程序。具体地,我们可以使用Spring Security的JWT机制来实现用户身份认证,并使用OAuth2.0机制来实现对资源的授权。这意味着,我们可以通过Spring Security来管理应用程序中所有的安全相关事务,包括用户的认证和授权。 使用Spring Security的JWTOAuth2.0,我们可以实现几种不同的认证和授权模式,例如,密码模式、授权码模式和刷新令牌模式等。每种模式都具有自己的使用场景和优缺点。例如,密码模式适用于Web应用程序需要进行用户身份认证的场景,而授权码模式适用于Web应用程序需要访问第三方资源的场景。 综上所述,Spring Security是一个强大的Java Web安全框架,它提供了许多功能,包括身份认证、授权和攻击防护等。使用Spring Security的JWTOAuth2.0,我们可以实现更加安全和灵活的Web应用程序。通过选择不同的认证和授权模式,我们可以满足不同的使用场景和需求。

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值