auth

最新推荐文章于 2023-12-06 16:18:54 发布

zyan_cn

最新推荐文章于 2023-12-06 16:18:54 发布

阅读量697

点赞数

分类专栏：网络相关文章标签： oauth cookie session http jwt

本文链接：https://blog.csdn.net/codark/article/details/109549528

版权

网络相关专栏收录该内容

2 篇文章 0 订阅

订阅专栏

常见的认证方案

1. HTTP Auth Authentication

这是HTTP提供的一个用于权限控制和认证的通用框架，其中最常用的HTTP认证方案就是HTTP Basic Authentication

[ 鉴权流程 ]
客户端发送一需要权限验证的请求，服务端返回未授权，需要授权。
客户端发送带有认证信息的请求，服务端验证并返回结果。

[ 加解密过程 ]

// 加密过程
let email = 'demo@test.com'
let password = '1234455'
let auth = `${email}:${password}`
const buf = Buffer.from(auth, 'ascii')
console.info(buf.toString('base64'))
// 解密过程
const buf = Buffer.from(authorizaiton.split(' ')[1] || ''), 'base64')
const user = buf.toString('ascii').split(':')

[ 其他HTTP认证 ]
基于HTTP身份验证框架的方案有多个，它们的安全强度不同有所不同。
常见的验证方案包括：

Basic(RFC 7616, Base64编码凭证)
Bearer(RFC 6750, bearer令牌通过OAuth2.0保护资源)
Digest(RFC 7616, 只有md5散列在Firefox中支持)
HOBA(RFC 7486, HTTP Origin-Bound认证，基于数字签名)
Mutual
AWS4-HMAC-SHA256

就先抄过来认个名儿吧！

2. Cookie + Session

用户在注册时提交用户名和密码，后端将密码“加盐”后存入数据库。

[ 鉴权流程 ]
用户提交用户名密码
服务端计算该用户SHA256并验证，若验证通过，为其创建一个Session对象，并将session_id用setCookie返回给浏览器
浏览器将session_id存到Cookie中，之后每次请求都带上Cookie
服务端收到带有session_id的request，根据session_id确定当前请求的用户，返回其请求数据。

[ Session存储 ]
常用的Session存储方式是键值对存储(KV存储)，例如Redis，which在分布式、API支持、性能方面表现较好。其他的还有mysql, file存储等。

如果服务是分布式的，使用file存储的话，就存在多个服务间的同步问题，以及高并发情况下的读写锁控制问题。

[ Session刷新 ]
不能等到Session到期后就把用户踢下线，用户的操作要更新Session的存活时间。
但频繁的更新Session会影响性能，可以再session快过期的时候再更新expire
用户频繁操作将会导致sid长期有效, 这使得cookie更容易泄露，泄露时间更长，可以在生成sid的时候同时生成refreshId，用来在sid过期后请求新的sid(在这种模式下,用户操作不延长sid有效期)，这要求前端判断sid失效并主动使用refreshId请求new_sid.

[ 单设备登录 ]
服务端建立起用户唯一标识与sessionId的对应关系，同一用户只能有唯一session，若多设备登录，可返回不允许登录或者挤掉之前登录用户。（默认情况下是可以多设备登录的）

3. JWT(Json Web Token)

[ 简介 ]
JWT是一个开发标准(RFC 7519)，它以JSON对象传递信息，自包含，具有数字签名。

[ JWT组成 ]
header + payload + signature，以小数点分隔

UzI1NiIsInR5cCI.qaWUiLCJpYX.jRDjF4JfZcmq

上面只是个样子，真正Base64太长了，不好看

解码后:

// header
{"alg": "HS256", "type": "JWT"}

// payload
{"name": "demo", "iat": "1604737078045", "expire": "1604837078045"}

// signature
const encodedHeader = base64Encode(header)
const encodedPayload = base64Encode(payload)
const signature = HMACSHA256(encodedHeader + '.' + encodedPayload, '密钥')