JS42 利用JWT实现登录

利用JWT实现登录

1 什么是JWT

JWT是JSON WEB TOKEN的缩写，是为了在网络应用环境建传递声明而执行的一种基于JSON的开放标准。该Toekn被设计为紧凑并且安全的，特别适用于分布式站点的单点登录（SSO）

2 传统的session认证

传统的session认证是为了让我们的应用能识别是哪个用户发送的请求，需要在服务器存储一份用户的登陆信息，这份登陆信息会在返给用户的响应时传递给浏览器，浏览器保存为cookie，下次请求时发送给服务器，用来验证用户身份。

基于session认证存在一些问题：

1. 用户增多，服务器保存的用户信息越来越多，服务端开销明显增大
2. 在分布式的应用上，会限制负载均衡器的能力
3. 由于是基于cookie来进行用户识别的，如果cookie被截取，会受到跨站请求伪造（CSRF）的攻击

3 基于token的鉴权机制

基于token的鉴权机制类似于http协议，也是无状态的，不需要在服务端保留用户的认证信息或者会话信息。这就意味着基于token认证的应用不需要考虑用户在哪一台服务器登陆了，为应用的扩展提供了遍历。

主要的流程如下：

1. 用户使用用户名和密码来请求服务器登陆
2. 服务器验证用户信息
3. 服务器对通过验证的用户下发一个token
4. 客户端收到token并存储，并且在以后的每次请求时再请求头中携带这个token
5. 服务端在收到后续请求后对token验证，通过时返回对应数据

4 JWT的构成

JWT由三段信息构成，第一部分为头部（header），第二部分为载荷（payload），第三部分是签名（signature）

4.1 header

header用来描述描述关于该JWT的最基本的信息，承载两部分信息：

1. 声明类型，这里是JWT
2. 声明签名算法

这也可以被表示成一个JSON对象。

{
  'typ': 'JWT',
  'alg': 'HS256'
}

然后将头部进行base64加密，构成了第一部分

eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9

4.2 payload

载荷是存放有效信息的地方，包含三个部分：

1. 标准中注册的声明（建议但不强制使用）
   • iss: jwt签发者
   • sub: jwt所面向的用户
   • aud: 接收jwt的一方
   • exp: jwt的过期时间，这个过期时间必须要大于签发时间
   • nbf: 定义在什么时间之前，该jwt都是不可用的
   • iat: jwt的签发时间
   • jti: jwt的唯一身份标识，主要用来作为一次性token，从而回避重放攻击。
2. 公共的声明：可以添加任何信息，一般添加用户的相关信息或其他业务需要的必要信息，但不建议添加敏感信息，因为该部分在客户端可解密
3. 私有的声明：提供者和消费者所共同定义的声明，不建议存放敏感信息，因为base64编码并不是加密过程，可以归类为明文信息

一个payload如下：

{
  "sub": "1234567890",
  "name": "John Doe",
  "admin": true
}

然后对其进行base64编码，得到JWT的第二部分

eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9

4.3 signature

签名信息由三个部分组成：

1. header（base64编码后的）
2. payload（base64编码后的）
3. secret

secret是利用HS256T算法进行加密时的密钥，将header和payload使用secret进行加密后，构成了jwt的第三部分

// javascript
va