JWT的初级认识

最新推荐文章于 2024-08-27 17:45:10 发布

忘忧记

最新推荐文章于 2024-08-27 17:45:10 发布

阅读量966

点赞数 19

分类专栏： springboot相关组件的配置文章标签： springboot java-ee

本文链接：https://blog.csdn.net/qq_45726327/article/details/135428449

版权

springboot相关组件的配置专栏收录该内容

29 篇文章 0 订阅

订阅专栏

一.什么是JWT

大家初步接触JWT，都很陌生，我们先看看官网的解释
在这里插入图片描述
机器翻译：
JSON Web Token (JWT) 是一种开放标准 ( RFC 7519 )，它定义了一种紧凑且独立的方式，用于在各方之间以 JSON 对象的形式安全地传输信息。该信息可以被验证和信任，因为它是经过数字签名的。JWT 可以使用密钥（使用HMAC算法）或使用RSA或ECDSA的公钥/私钥对进行签名。
尽管 JWT 可以加密以在各方之间提供保密性，但我们将重点关注签名令牌。签名令牌可以验证其中包含的声明的完整性，而加密令牌则向其他方隐藏这些声明。当使用公钥/私钥对对令牌进行签名时，签名还证明只有持有私钥的一方才是对其进行签名的一方。

通俗解释：
看了这机器翻译的东西是不是觉得有些难懂，我们来通俗易懂的方式来说明一下。

JWT简称JSON Web Token,也就是通过JSON形式作为Web应用中的令牌,用于在各方之间安全地将信息作为JSON对象传输。在数据传输过程中还可以完成数据加密、签名等相关处理。
另外举一个大家去生活的例子：
在这里插入图片描述
另外在前后端开发中，当用户登录后，服务器会生成一个 JWT 令牌，并将令牌发送给客户端。客户端将令牌存储在 Cookie 或本地存储中，在后续请求中携带令牌。服务器通过验证令牌来判断用户是否已登录。
在这里插入图片描述

二.JWT能够做什么

1.授权

这是使用JWT的最常见方案。一旦用户登录，每个后续请求将包括JWT，从而允许用户访问该令牌允许的路由，服务和资源。单点登录是当今广泛使用JWT的一项功能，因为它的开销很小并且可以在不同的域中轻松使用。
举一个网站登录的例子来说明授权的登录过程。

一家大型的购物网站上注册了一个账户。在登录后，网站会生成一个 JWT 令牌，并将令牌发送给你的浏览器。
当你访问网站的不同页面时，浏览器会将 JWT 令牌携带在请求头中。网站会验证 JWT 令牌，如果验证成功，则允许你访问页面。

2.信息交换

JSON Web Token是在各方之间安全地传输信息的好方法。因为可以对JWT进行签名（例如，使用公钥/私钥对），所以您可以确保发件人是他们所说的人。此外，由于签名是使用标头和有效负载计算的，因此您还可以验证内容是否遭到篡改。

当你登录公司系统后，公司会生成一个 JWT 令牌，并将令牌发送给你的计算机。
当你访问公司内部系统的不同页面时，计算机会将 JWT 令牌携带在请求头中。公司系统会验证 JWT 令牌，如果验证成功，则允许你访问页面。
在这种情况下，JWT 令牌就像一个“身份证”，允许你访问公司内部系统。

三.为什么我们使用JWT

我们先来看看基于session的认证流程

传统的基于session的认证流程

认证流程

用户登录：用户向服务器发送包含用户名和密码的登录请求。
服务器验证用户身份：服务器根据用户名和密码验证用户身份。如果验证成功，则生成一个 Session 并将 Session 的 ID 返回给用户。
用户保存 Session ID：用户将 Session ID 保存在 Cookie 或本地存储中。
用户访问受保护资源：用户访问受保护资源时，将 Session ID 发送给服务器。
服务器验证 Session 是否有效：服务器根据 Session ID 验证 Session 是否有效。如果有效，则允许用户访问资源。

优点

简单易实现。
可以实现用户状态的跟踪。

暴露的问题

1.每个用户经过我们的应用认证之后，我们的应用都要在服务端做一次记录，以方便用户下次请求的鉴别，通常而言session都是保存在内存中，而随着认证用户的增多，服务端的开销会明显增大
2.用户认证之后，服务端做认证记录，如果认证的记录被保存在内存中的话，这意味着用户下次请求还必须要请求在这台服务器上,这样才能拿到授权的资源，这样在分布式的应用上，相应的限制了负载均衡器的能力。这也意味着限制了应用的扩展能力。
3.因为是基于cookie来进行用户识别的, cookie如果被截获，用户就会很容易受到跨站请求伪造的攻击。
4.在前后端分离系统中就更加痛苦:如下图所示
也就是说前后端分离在应用解耦后增加了部署的复杂性。通常用户一次请求就要转发多次。如果用session 每次携带sessionid 到服务器，服务器还要查询用户信息。同时如果用户很多。这些信息存储在服务器内存中，给服务器增加负担。还有就是CSRF（跨站伪造请求攻击）攻击，session是基于cookie进行用户识别的, cookie如果被截获，用户就会很容易受到跨站请求伪造的攻击。还有就是 sessionid就是一个特征值，表达的信息不够丰富。不容易扩展。而且如果你后端应用是多节点部署。那么就需要实现session共享机制。不方便集群应用。

基于JWT认证

在这里插入图片描述

1.认证流程

首先，前端通过Web表单将自己的用户名和密码发送到后端的接口。这一过程一般是一个HTTP POST请求。建议的方式是通过SSL加密的传输（https协议），从而避免敏感信息被嗅探。
后端核对用户名和密码成功后，将用户的id等其他信息作为JWT Payload（负载），将其与头部分别进行Base64编码拼接后签名，形成一个JWT(Token)。形成的JWT就是一个形同lll.zzz.xxx的字符串。 token head.payload.singurater
后端将JWT字符串作为登录成功的返回结果返回给前端。前端可以将返回的结果保存在localStorage或sessionStorage上，退出登录时前端删除保存的JWT即可。
前端在每次请求时将JWT放入HTTP Header中的Authorization位。(解决XSS和XSRF问题) HEADER
后端检查是否存在，如存在验证JWT的有效性。例如，检查签名是否正确；检查Token是否过期；检查Token的接收方是否是自己（可选）。
验证通过后后端使用JWT中包含的用户信息进行其他逻辑操作，返回相应结果。

2.jwt优势

简洁(Compact): 可以通过URL，POST参数或者在HTTP header发送，因为数据量小，传输速度也很快
自包含(Self-contained)：负载中包含了所有用户所需要的信息，避免了多次查询数据库
因为Token是以JSON加密的形式保存在客户端的，所以JWT是跨语言的，原则上任何web形式都支持。
不需要在服务端保存会话信息，特别适用于分布式微服务。

四.JWT的结构是什么

JWT 的结构由三个部分组成，用点号（.）分隔：
Header：头部包含了令牌的类型（typ）和签名算法（alg）。
Payload：负载包含了令牌携带的信息，如用户 ID、用户名、角色等。
Signature：签名用于验证令牌的完整性和发行者。
在这里插入图片描述

Header的组成

4.2 Header

标头通常由两部分组成：令牌的类型（即JWT）和所使用的签名算法，例如HMAC SHA256或RSA。它会使用 Base64 编码组成 JWT 结构的第一部分。
注意:Base64是一种编码，也就是说，它是可以被翻译回原来的样子来的。它并不是一种加密过程。

{
  "alg": "HS256",
  "typ": "JWT"
}

4.3 Payload

令牌的第二部分是有效负载，其中包含声明。声明是有关实体（通常是用户）和其他数据的声明。同样的，它会使用 Base64 编码组成 JWT 结构的第二部分。

{
  "sub": "1234567890",
  "name": "John Doe",
  "admin": true
}

4.4 Signature

前面两部分都是使用 Base64 进行编码的，即前端可以解开知道里面的信息。Signature 需要使用编码后的 header 和 payload 以及我们提供的一个密钥，然后使用 header 中指定的签名算法（HS256）进行签名。签名的作用是保证 JWT 没有被篡改过。

- 如:
	HMACSHA256(base64UrlEncode(header) + "." + base64UrlEncode(payload),secret);

签名目的

最后一步签名的过程，实际上是对头部以及负载内容进行签名，防止内容被窜改。如果有人对头部以及负载的内容解码之后进行修改，再进行编码，最后加上之前的签名组合形成新的JWT的话，那么服务器端会判断出新的头部和负载形成的签名和JWT附带上的签名是不一样的。如果要对新的头部和负载进行签名，在不知道服务器加密时用的密钥的话，得出来的签名也是不一样的。

五.使用JWT

5.1 引入JWT依赖

<!--引入jwt-->
<dependency>
  <groupId>com.auth0</groupId>
  <artifactId>java-jwt</artifactId>
  <version>3.4.0</version>
</dependency>

5.2 生成token

Calendar instance = Calendar.getInstance();
instance.add(Calendar.SECOND, 90);
//生成令牌
String token = JWT.create()
  .withClaim("username", "张三")//设置自定义用户名 header 和 Payload
  .withExpiresAt(instance.getTime())//设置过期时间 
  .sign(Algorithm.HMAC256("token!Q2W#E$RW"));//设置签名 保密 复杂 //Signature
//输出令牌
System.out.println(token);

运行结果：
在这里插入图片描述

5.3 根据令牌和签名解析数据

JWTVerifier jwtVerifier = JWT.require(Algorithm.HMAC256("token!Q2W#E$RW")).build();
DecodedJWT decodedJWT = jwtVerifier.verify(token);
System.out.println("用户名: " + decodedJWT.getClaim("username").asString());
System.out.println("过期时间: "+decodedJWT.getExpiresAt());

在这里插入图片描述

总结

在生成令牌时，需要指定签名算法和签名密钥。签名算法用于保证令牌的完整性和发行者。签名密钥是服务器端的密钥，用于验证令牌。
在验证令牌时，需要使用与生成令牌时相同的签名算法和签名密钥。
令牌的过期时间可以设置为任意值。过期时间到达后，令牌将无法验证。

六.封装工具类

public class JWTUtils {
    private static String TOKEN = "token!Q@W3e4r";
    /**
     * 生成token
     * @param map  //传入payload
     * @return 返回token
     */
    public static String getToken(Map<String,String> map){
        JWTCreator.Builder builder = JWT.create();
        map.forEach((k,v)->{
            builder.withClaim(k,v);
        });
        Calendar instance = Calendar.getInstance();
        instance.add(Calendar.SECOND,7);
        builder.withExpiresAt(instance.getTime());
        return builder.sign(Algorithm.HMAC256(TOKEN)).toString();
    }
    /**
     * 验证token
     * @param token
     * @return
     */
    public static void verify(String token){
        JWT.require(Algorithm.HMAC256(TOKEN)).build().verify(token);
    }
    /**
     * 获取token中payload
     * @param token
     * @return
     */
    public static DecodedJWT getToken(String token){
        return JWT.require(Algorithm.HMAC256(TOKEN)).build().verify(token);
    }
}

这段代码的主要功能是提供 JWT 令牌的生成、验证和解析功能。

具体来说，它包含以下功能：

生成令牌：
getToken(Map<String, String> map) 方法用于生成 JWT 令牌。
它接收一个 Map 对象作为参数，用于指定令牌的负载（payload）。
它使用 JWT.create() 方法创建一个令牌构建器，并使用 withClaim() 方法添加负载声明。
它设置令牌的过期时间为当前时间加上 7 秒。
它使用 sign() 方法对令牌进行签名，并返回签名后的令牌字符串。
验证令牌：
verify(String token) 方法用于验证 JWT 令牌。
它接收一个令牌字符串作为参数。
它使用 JWT.require() 方法创建一个验证器，并使用 verify() 方法验证令牌。
如果验证成功，则不返回任何值；如果验证失败，则抛出异常。
获取令牌负载：
getToken(String token) 方法用于获取 JWT 令牌的负载。
它接收一个令牌字符串作为参数。
它使用 JWT.require() 方法创建一个验证器，并使用 verify() 方法验证令牌。
如果验证成功，则返回一个 DecodedJWT 对象，该对象包含令牌的负载信息。

忘忧记

关注

19
点赞
踩
22

收藏

觉得还不错? 一键收藏
打赏
0
评论
JWT的初级认识

大家初步接触JWT，都很陌生，我们先看看官网的解释JSON Web Token (JWT) 是一种开放标准 ( RFC 7519 )，它定义了一种紧凑且独立的方式，用于在各方之间以 JSON 对象的形式安全地传输信息。该信息可以被验证和信任，因为它是经过数字签名的。JWT 可以使用密钥（使用HMAC算法）或使用RSA或ECDSA的公钥/私钥对进行签名。尽管 JWT 可以加密以在各方之间提供保密性，但我们将重点关注签名令牌。签名令牌可以验证其中包含的声明的完整性，而加密令牌则向其他方隐藏这些声明。
复制链接

扫一扫