JWT-golang

JWT简介

JSON Web Token (JWT)是一个开放标准(RFC 7519)，它定义了一种紧凑的、自包含的方式，用于作为JSON对象在各方之间安全地传输信息。该信息可以被验证和信任，因为它是数字签名的。

JWT使用

在认证的时候，即当用户使用凭证成功登录成功后，一个JSON Web Token将会被返回，即token。该字符串即时用户凭证了，当用户想访问受保护的路由或者资源时，用户代理通常是浏览器都应该带上该凭证，通常是放在Authorization Header中。服务器会检查该JWT是否有效，如果有效则才能访问成功。JWT可以携带部分数据以减少数据库压力。

JWT特点

1、无状态。不在服务端存储，减少服务端压力。

2、一次性的。在jwt失效之前都是有效的，信息更新重新签发的新的JWT，旧的还没过期，依旧可以绕过验证。需要服务端有额外的逻辑，防止再次使用。引入redis，其实有点违背特点1了。

3、jwt太长。若在jwt中放入其他数据很可能会出现，http请求Header>Body，因而使用开销略大。

JWT结构

JWT（JSON Web Token）是一个非常轻巧的规范,这个规范允许我们使用JWT在用户和服务器之间传递安全可靠的信息,一个JWT由三部分组成,Header头部、Claims载荷、Signature签名

1、JWT-Header，加密算法通常直接使用SHA256

{ "typ": "JWT"，"alg": "HS256"}

2、JWT-Claims负载

type StandardClaims struct {
    // 受众
	Audience  ClaimStrings `json:"aud,omitempty"`
    // 过期时间
	ExpiresAt *Time        `json:"exp,omitempty"`
    // 编号
	ID        string       `json:"jti,omitempty"`
    // 签发时间
	IssuedAt  *Time        `json:"iat,omitempty"`
    // 签发人
	Issuer    string       `json:"iss,omitempty"`
    // 生效时间
	NotBefore *Time        `json:"nbf,omitempty"`
    // 主题
	Subject   string       `json:"sub,omitempty"`
}

3、JWT-Signature对前两部分进行签名防止被篡改

Token结构体内容：

type Token struct {
	Raw       string                 // The raw token.  Populated when you Parse a token
	Method    SigningMethod          // The signing method used or to be used
	Header    map[string]interface{} // The first segment of the token
	Claims    Claims                 // The second segment of the token
	Signature string                 // The third segment of the token.  Populated when you Parse a token
	Valid     bool                   // Is the token valid?  Populated when you Parse/Verify a token
}

JWT生成流程(github.com/dgrijalva/jwt-go)：

1、初始化一个token，可通过构造父类，在Claims中添加一些附加信息

token := jwt.NewWithClaims(
        // 加密方式
		jwt.SigningMethodHS256,
		jwt.StandardClaims{
            // 过期时间
			ExpiresAt: jwt.At(time.Now().Add(xxx)),
		})


// NewWithClaims creats a new token with a specified signing method and claims type
func NewWithClaims(method SigningMethod, claims Claims) *Token {
	return &Token{
		Header: map[string]interface{}{
			"typ": "JWT",
			"alg": method.Alg(),
		},
		Claims: claims,
		Method: method,
	}
}

===>token内容如下：

{
	"token": {
		"Raw": "",
		"Method": {
			"Name": "HS256",
			"Hash": "SHA256"
		},
		"Header": [
			{
				"typ": "JWT",
				"alg": "HS256"
			}
		],
		"StandardClaims": {
			"ExpireAt": "2021-12-24 16:35:14.657703 +0800"
		},
		"Signature": "",
		"Valid": false
	}
}

2、密钥加密生成一个三段式（中间使用两个.隔开）字符串，

tokenString, err := token.SignedString(hmacSecret) //案例如下行：

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1c2VyX2luZm8iOnsidWlkIjozLCJyb2xlX2lkIjo1LCJ1c2VybmFtZSI6IirnrqHnkIblkZgiLCJsYXN0X2xvZ2luX2F0IjoiMjAyMS0xMS0yNFQxNjo0ODoxMC44Nzk4OTE0KzA4OjAwIiwidXNlcl9hZ2VudCI6IlBvc3RtYW5SdW50aW1lLzcuMjguNCIsImRldmljZV90eXBlIjoiQU5EUk9JRCIsImVuZF9hdCI6eyJUaW1lIjoiMDAwMS0wMS0wMVQwMDowMDowMFoiLCJWYWxpZCI6ZmFsc2V9fSwiZXhwIjoxNjQwMzM1Njk0Ljk1MjY0N30.lqFu8xEvJMq31wpTVwBYjFRLt8xefHf7OxC1q1oy__8

该字符串包含三个部分,

        Header头部，

        Payload负载即上述Claims

        Signature 签名/签证

// SignedString returns the complete, signed token
func (t *Token) SignedString(key interface{}, opts ...SigningOption) (string, error) {
	var sig, sstr string
	var err error
    /* 
    此方法将token中的Header和Claims分别编码并用点连接,部分源码如下
    func (t *Token) SigningString(opts ...SigningOption) (string, error) {
	    ...
	    inputParts := []interface{}{t.Header, t.Claims}
	    parts := make([]string, 2)
	    for i, v := range inputParts {
		    ctx := CodingContext{FieldDescriptor(i), t.Header}
		    ...
	    }
	    return strings.Join(parts, "."), nil
    }

    */
	if sstr, err = t.SigningString(opts...); err != nil {
		return "", err
	}
    // 对前两部分由.拼接的字符串进行签名
	if sig, err = t.Method.Sign(sstr, key); err != nil {
		return "", err
	}
    // 再拼接.
	return strings.Join([]string{sstr, sig}, "."), nil
}

服务端解码，直接上代码：

func Parse(tokenString string) (*UserInfo, error) {
	token, err := jwt.ParseWithClaims(
		tokenString,
		&UserClaims{},
		func(token *jwt.Token) (interface{}, error) {
			if token.Method.(*jwt.SigningMethodHMAC) != alg {
				return nil, fmt.Errorf("Unexpected signing method: %v", token.Header["alg"])
			}
			return hmacSecret, nil
		},
	)

	if err != nil {
		return nil, err
	}

	if claims, ok := token.Claims.(*UserClaims); ok && token.Valid {
		return &claims.UserInfo, nil
	} else {
		return nil, fmt.Errorf("token非法: %s", tokenString)
	}
}