点击关注公众号，Java干货****及时送达
转自：乐傻驴
链接：www.jianshu.com/p/1f2d6e5126cb
本文会详细描述两种通用的保证API安全性的方法：OAuth2和JSON Web Token (JWT)
假设:
-
你已经或者正在实现API；
-
你正在考虑选择一个合适的方法保证API的安全性；
JWT和OAuth2比较？
要比较JWT和OAuth2？首先要明白一点就是，这两个根本没有可比性，是两个完全不同的东西。
JSON Web Token (JWT)
JWT在标准中是这么定义的：
JSON Web Token (JWT) is a compact URL-safe means of representing claims to be transferred between two parties. The claims in a JWT are encoded as a JSON object that is digitally signed using JSON Web Signature (JWS). -RFC7519 https://tools.ietf.org/html/rfc7519
JWT是一种安全标准。基本思路就是用户提供用户名和密码给认证服务器，服务器验证用户提交信息信息的合法性；如果验证成功，会产生并返回一个Token（令牌），用户可以使用这个token访问服务器上受保护的资源。
一个token的例子:
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ
一个token包含三部分：
header.claims.signature
了安全的在url中使用，所有部分都 base64 URL-safe进行编码处理。
Header头部分头部分简单声明了类型(JWT)以及产生签名所使用的算法。
{ “alg” : “AES256”, “typ” : “JWT”}
Claims声明
声明部分是整个token的核心，表示要发送的用户详细信息。有些情况下，我们很可能要在一个服务器上实现认证，然后访问另一台服务器上的资源；或者，通过单独的接口来生成token，token被保存在应用程序客户端（比如浏览器）使用。一个简单的声明（claim）的例子：
{ “sub”: “1234567890”, “name”: “John Doe”, “admin”: true}
Signature签名
签名的目的是为了保证上边两部分信息不被篡改。如果尝试使用Bas64对解码后的token进行修改，签名信息就会失效。一般使用一个私钥（private key）通过特定算法对Header和Claims进行混淆产生签名信息，所以只有原始的token才能于签名信息匹配。
这里有一个重要的实现细节。只有获取了私钥的应用程序（比如服务器端应用）才能完全认证token包含声明信息的合法性。所以，永远不要把私钥信息放在客户端（比如浏览器）。
OAuth2是什么？
相反，OAuth2不是一个标准协议，而是一个安全的授权框架。它详细描述了系统中不同角色、用户、服务前端应用（比如API），以及客户端（比如网站或移动App）之间怎么实现相互认证。
这里简单说一下涉及到的基本概念。最新面试题整理好了，点击Java面试库小程序在线刷题。
Client Types客户端类型这里的客户端主要指API的使用者。它可以是的类型：
Client Profile客户端描述OAuth2框架也指定了集中客户端描述，用来表示应用程序的类型：
Authorization Grants认证授权认证授权代表资源拥有者授权给客户端应用程序的一组权限，可以是下边几种形式：
自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。
深知大多数Java工程师，想要提升技能，往往是自己摸索成长或者是报班学习，但对于培训机构动则几千的学费，着实压力不小。自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！
因此收集整理了一份《2024年Java开发全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友，同时减轻大家的负担。
既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上Java开发知识点，真正体系化！
由于文件比较大，这里只是将部分目录大纲截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且后续会持续更新
如果你觉得这些内容对你有帮助，可以添加V获取：vip1024b （备注Java）
总结
在这里，由于面试中MySQL问的比较多，因此也就在此以MySQL为例为大家总结分享。但是你要学习的往往不止这一点，还有一些主流框架的使用，Spring源码的学习，Mybatis源码的学习等等都是需要掌握的，我也把这些知识点都整理起来了
24b （备注Java）**
[外链图片转存中…(img-UJ6MYTqZ-1711713716991)]
总结
在这里，由于面试中MySQL问的比较多，因此也就在此以MySQL为例为大家总结分享。但是你要学习的往往不止这一点，还有一些主流框架的使用，Spring源码的学习，Mybatis源码的学习等等都是需要掌握的，我也把这些知识点都整理起来了
[外链图片转存中…(img-ZoKAySOS-1711713716991)]
[外链图片转存中…(img-sGzlNN2X-1711713716992)]
2460
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
