Java二阶知识点总结（九）Shiro和JWT

奥妙无穹

已于 2024-03-27 17:31:16 修改

阅读量852

点赞数 14

分类专栏： Java二阶知识点总结文章标签： java 开发语言

于 2024-03-26 15:10:26 首次发布

本文链接：https://blog.csdn.net/qq_44648936/article/details/137008190

版权

9 篇文章 1 订阅

订阅专栏

Subject：正与系统进行交互的人，或某一个第三方服务。所有 Subject 实例都被绑定到一个SecurityManager 上，其实就是用于获取外部数据的主体。
SecurityManager：Shiro 架构的心脏，用来协调内部各安全组件，管理内部组件实例，并通过它来提供安全管理的各种服务，负责和Shiro其他组件交互
Realm：shiro 是从 Realm 来获取安全数据（用户，角色，权限）。就是说 SecurityManager要验证用户身份，那么它需要从 Realm 获取相应的用户进行比较以确定用户身份是否合法；也需要从Realm 得到用户相应的角色/权限进行验证用户是否能进行操作；可以把 Realm 看成 DataSource，即安全数据源。

JWT：JSON Web Token (JWT)是一个开放标准(RFC 7519)，它定义了一种紧凑的、自包含的方式，用于作为JSON对象在各方之间安全地传输信息。该信息可以被验证和信任，因为它是数字签名的。
简单说一下JWT、Cookie、Session和Token之间的联系：
首先，Cookie可以被认为是将用户信息存储在客户端
但这种方法不安全，所以出现了Session，也就是将用户信息存储在服务端，然后客户端通过双方约定的Token来确认是服务端中的哪个用户信息
但后来出现了分布式服务器，这样就可能导致服务器并没有存储已登录的Session，所以出现了JWT，可以简单理解为将用户信息编码存储在客户端，随请求一起发送到服务端，服务端通过密钥验证判断是不是自己发出去的信息

{
    'alg': "HS256",
    'typ': "JWT"
}

{
    "sub": '1234567890',
    "name": 'john',
    "admin":true
}

单点登录：一次登录后可免登陆访问其他的可信平台，例如登录百度后可直接访问百度文库等旗下网站

用户认证：用户首先访问SSO系统中的一个应用，并输入用户名和密码进行登录。
生成JWT：认证服务器验证用户的凭据。一旦认证成功，服务器将生成一个JWT，其中包含用户的身份信息（如用户ID）和其他声明（如角色、权限等），但不包含敏感信息。
JWT签名：JWT通常使用HS256、RS256或ES256等算法进行签名，以确保其不可篡改性和可信度。
发送JWT：认证服务器将JWT作为响应的一部分发送给客户端（用户的浏览器）。
存储JWT：客户端将JWT存储在本地存储（如localStorage或sessionStorage）或HTTP Cookie中。

携带JWT：当用户尝试访问SSO系统中的另一个应用时，客户端会在HTTP请求的Authorization头部携带JWT（通常以Bearer Token的形式）。
验证JWT：目标应用的服务器接收到请求后，会验证JWT的签名以确保其有效性，并解析JWT中的信息来识别用户。
授权访问：如果JWT验证成功，应用服务器将根据JWT中的信息授予用户相应的访问权限，而无需再次要求用户登录。