JWT的认证原理和与SpringBoot整合

最新推荐文章于 2024-07-29 14:22:26 发布
最新推荐文章于 2024-07-29 14:22:26 发布
阅读量3.2k 收藏 3
点赞数 1
分类专栏： JWT 文章标签： restful java http jwt
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_47142993/article/details/120712362
版权

JWT

JWT

代码

项目源代码地址
包含这篇文章的md文件

1 什么是JWT

image-20211008214706416

JSON Web Token (JWT) is an open standard (RFC 7519) that defines a compact and self-contained way for securely transmitting information between parties as a JSON object. This information can be verified and trusted because it is digitally signed. JWTs can be signed using a secret (with the HMAC algorithm) or a public/private key pair using RSA or ECDSA.—[摘自官网]

1.翻译

JSON Web令牌(JWT)是一种开放标准(RFC 7519)，它定义了一种紧凑且自包含的方式，以JSON对象的形式在各方之间安全地传输信息。由于该信息是数字签名的，因此可以对其进行验证和信任。jwt可以使用秘密(使用HMAC算法)签名，也可以使用RSA或ECDSA公钥/私钥对签名

2.通俗解释

JWT简称JSON Web Token,也就是通过JSON形式作为Web应
用中的令牌,用于在各方之间安全地将信息作为JSON对象传输。
在数据传输过程中还可以完成数据加密、签名等相关处理。

2 JWT能做什么

1.授权

这是使用JWT的最常见方案。一旦用户登录，每个后续请求将
包括JWT，从而允允许的路由，服务和资源。单点登录是当今
广泛使用JWT的一项功能，因为它的开销很小并且可以在不同
的域中轻松使用。

2.信息交换

JSON Web Token是在各方之间安全地传输信息的好方法。因为
可以对JWT进行签名（例如，使用公钥/私钥对），所以您可
以确保发件人是他们所说的人。此外，由于签名是使用标头和有
效负载计算的，因此您还可以验证内容是否遭到篡改。

注意：jwt跟session不一样，jwt存储在客户端，session
存储在服务器端，服务器断电后session就没了，而jwt因
为存储在客户端，所以就不会被影响，只要jwt不过期，
就可以继续使用。

3 为什么是JWT

3.1 基于传统的Session认证

1.认证方式

我们知道，http协议本身是一种无状态的协议，而这
就意味着如果用户向我们的应用提供了用户名和密码来进行用
户认证，那么下一次请求时，用户还要再一次进行用户认证
才行，因为根据http协议，我们并不能知道是哪个用户发出
的请求，所以为了让我们的应用能识别是哪个用户发出的请求，我
们只能在服务器存储一份用户登录的信息，这份登录信息会在响
应时传递给浏览器，告诉其保存为cookie,以便下次请求时发送
给我们的应用，这样我们的应用就能识别请求来自哪个用
户了,这就是传统的基于session认证。
t

2.认证流程

image-20211008215939849

3.暴露问题

  1. 每个用户经过我们的应用认证之后，我们的应用都要在服务端做
    一次记录，以方便用户下次请求的鉴别，通常而言session都是保存在内存中，而随着认证用户的增多，服务端的开销会明显增大

  2. 用户认证之后，服务端做认证记录，如果认证的记录被保存在
    内存中的话，这意味着用户下次请求还必须要 请求在这台服务
    器上,这样才能拿到授权的资源，这样在分布式的应用上，相应
    的限制了负载均衡器的能力。这也意味着限制了应用的扩展能力。

  3. 因为是基于cookie来进行用户识别的, cookie如果被截获，用户
    就会很容易受到跨站请求伪造的攻击。

  4. 在前后端分离系统中就更加痛苦:如下图所示
    也就是说前后端分离在应用解耦后增加了部署的复杂性。通常用户
    一次请求就要转发多次。如果用session 每次携带sessionid 到服务
    器，服务器还要查询用户信息。同时如果用户很多。这些信息存储
    在服务器内存中，给服务器增加负担。还有就是CSRF（跨站伪造请求攻击）攻击，session是基于cookie进行用户识别的, cookie如
    果被截获，用户就会很容易受到跨站请求伪造的攻击。还有就是
    sessionid就是一个特征值，表达的信息不够丰富。不容易扩展。
    而且如果你后端应用是多节点部署。那么就需要实现session共享机制。不方便集群应用。

image-20211008220235099

3.2 基于JWT认证

image-20211008220450492

1.认证流程

  1. 首先，前端通过Web表单将自己的用户名和密码发送到后端的接口。
    这一过程一般是一个HTTP POST请求。建议的方式是通过SSL加
    密的传输（https协议），从而避免敏感信息被嗅探。

  2. 后端核对用户名和密码成功后，将用户的id等其他信息作为
    JWT Payload（负载），将其与头部分别进行Base64编码拼接后
    签名，形成一个JWT(Token)。形成的JWT就是一个形同lll.zzz.xxx
    的字符串。 token head.payload.singurater

  3. 后端将JWT字符串作为登录成功的返回结果返回给前端。前端可
    以将返回的结果保存在localStorage或sessionStorage上，退出登录
    时前端删除保存的JWT即可。

  4. 前端在每次请求时将JWT放入HTTP Header中的Authorization位。
    (解决XSS和XSRF问题) HEADER

  5. 后端检查是否存在，如存在验证JWT的有效性。例如，检查签名
    是否正确；检查Token是否过期；检查Token的接收方是否是自己（可选）。

  6. 验证通过后后端使用JWT中包含的用户信息进行其他逻辑操作，
    返回相应结果。

2.jwt优势

  1. 简洁(Compact): 可以通过URL，POST参数或者在HTTP header发送，
    因为数据量小，传输速度也很快

  2. 自包含(Self-contained)：负载中包含了所有用户所需要的信息，
    避免了多次查询数据库

    因为Token是以JSON加密的形式保存在客户端的，所以JWT是跨语
    言的，原则上任何web形式都支持。

    不需要在服务端保存会话信息，特别适用于分布式微服务。

4 JWT的结构是什么

token string ====> header.payload.singnature token

1.令牌组成

  • 1.标头(Header)
  • 2.有效载荷(Payload)
  • 3.签名(Signature)
  • 因此，JWT通常如下所示:xxxxx.yyyyy.zzzzz Header.Payload.Signature

2.Header

  • 标头通常由两部分组成：令牌的类型（即JWT）和所使用的签名算法，例如HMAC SHA256或RSA。它会使用 Base64 编码组成 JWT 结构的第一部分。

  • 注意:Base64是一种编码，也就是说，它是可以被翻译回原来的样子来的。它并不是一种加密过程。

{
  "alg": "HS256",
  "typ": "JWT"
}

3.Payload

  • 令牌的第二部分是有效负载，其中包含声明。声明是有关实体
  • （通常是用户）和其他数据的声明。同样的，它会使用
    Base64 编码组成 JWT 结构的第二部分
{
  "sub": "1234567890",
  "name": "John Doe",
  "admin": true
}

4.Signature

  • 前面两部分都是使用 Base64 进行编码的，即前端可以解开知道里面的信息。Signature 需要使用编码后的 header 和 payload
    以及我们提供的一个密钥，然后使用 header 中指定的签名算法
    （HS256）进行签名。签名的作用是保证 JWT 没有被篡改过
  • 如:
    HMACSHA256(base64UrlEncode(header) + “.” + base64UrlEncode(payload),secret);
签名目的
  • 最后一步签名的过程，实际上是对头部以及负载内容进行签名，
    防止内容被窜改。如果有人对头部以及负载的内容解码之后进行修
    改，再进行编码，最后加上之前的签名组合形成新的JWT的话，
    那么服务器端会判断出新的头部和负载形成的签名和JWT附带上
    的签名是不一样的。如果要对新的头部和负载进行签名，在不知
    道服务器加密时用的密钥的话，得出来的签名也是不一样的。
信息安全问题

  • 在这里大家一定会问一个问题：Base64是一种编码，
    是可逆的，那么我的信息不就被暴露了吗？

  • 是的。所以，在JWT中，不应该在负载里面加入任何敏感的
    数据。在上面的例子中，我们传输的是用户的User ID。这个值
    实际上不是什么敏 感内容，一般情况下被知道也是安全的。但
    是像密码这样的内容就不能被放在JWT中了。如果将用户的密
    码放在了JWT中，那么怀有恶意的第 三方通过Base64解码就能
    很快地知道你的密码了。因此JWT适合用于向Web应用传递一些
    非敏感信息。JWT还经常用于设计用户认证和授权系 统，甚至
    实现Web应用的单点登录。

image-20211009215056889

5.放在一起

  • 输出是三个由点分隔的Base64-URL字符串，可以在HTML和
    HTTP环境中轻松传递这些字符串，与基于XML的标准（例如SAML）
    相比，它更紧凑。
  • 简洁(Compact)
    可以通过URL, POST 参数或者在 HTTP header 发送，因为
    数据量小，传输速度快
  • 自包含(Self-contained)
    负载中包含了所有用户所需要的信息，避免了多次查询数据库

5 使用JWT

1.引入依赖

<!--引入jwt-->
<dependency>
  <groupId>com.auth0</groupId>
  <artifactId>java-jwt</artifactId>
  <version>3.4.0</version>
</dependency>

2.生成token

	HashMap<String, Object> map = new HashMap<>();

		Calendar instance = Calendar.getInstance();
		instance.add(Calendar.SECOND,300);
		String token = JWT.create()
				//.withHeader(map)//header
				.withClaim("userId", 21)//payload
				.withClaim("username", "xiaokaixin")
				.withExpiresAt(instance.getTime())//知道令牌过期时间
				.sign(Algorithm.HMAC256("as%has"));// 签名

		System.out.println(token);

生成结果

eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJleHAiOjE2MzM3NTczMzEsInVzZXJJZCI6MjEsInVzZXJuYW1lIjoieGlhb2thaXhpbiJ9.PVj08ZtccE1vxNJLhbwcuE1YBFBbEGUIlvqR0eBTcvU

3.根据令牌和签名解析数据

	//创建验证对象
		JWTVerifier jwtVerifier = JWT.require(Algorithm.HMAC256(
最低0.47元/天 解锁文章
小开心
关注
  • 1
    点赞
  • 踩
  • 3
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
测试JWT加密过程
Leon_Jinhai_Sun的博客
01-03 8761
import com.auth0.jwt.JWT; import com.auth0.jwt.JWTVerifier; import com.auth0.jwt.algorithms.Algorithm; import com.auth0.jwt.interfaces.DecodedJWT; import org.junit.jupiter.api.Test; import org.springframework.boot.test.context.SpringBootTest; import java.
全栈之初识JWT -- Web安全的守护神
张兴华的博客
01-09 3249
一、JWT 简介 JSON Web Token（JWT）是目前最流行的跨域身份验证解决方案。 JWT 是一个非常轻巧的规范。这个规范允许我们使用JWT在用户和服务器之间传递安全可靠的信息。 二、解析 JWT 一个JWT实际上就是一个字符串 eg： eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJ1c2VySWQiOiIxMDAiLCJ1c2VybmFtZSI6I...
一文读懂JWT认证含使用教程
八戒的博客
05-29 1165
***///自定义密钥/*** 生成 Token* @param map 自定义的载荷数据* @return 返回 Token*///1.设置过期时间(默认 1 天过期)//2.创建 jwt builder，添加自定义的载荷数据//3.生成 TokenString token = builder.withExpiresAt(instance.getTime()) //过期时间// sign/*** 验证 Token 合法性*/try {
暑期实训7-7.12
qq_43355011的博客
07-12 3111
文章目录12345 1 组内分享界面，每人对另一个人的界面进行简单的改进（在原有的基础上/已经实现的界面），通过开会，最后确定第一版的界面优化。主要改变集中在字体，边框，尺寸。 2 后端已完成的部分目前已经部署到服务器了 请求示例：http://grandland.gl-data.com:14332/xxx 小程序端调用接口时需要将token加入到请求头中，后端提供的可用的的token： eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJhdWQiOiJvaUtzajZE
JWT的使用
陆沉的博客
01-28 9737
概述 JSON Web Token（JWT）是一种开放标准（RFC 7519），它定义了一种紧凑且自包含的方式，用于在各方之间作为JSON对象安全地传输信息。此信息可以验证和信任，因为它是经过数字签名的。JWT可以使用秘密（使用HMAC算法）或使用RSA或ECDSA的公钥/私钥对进行签名。 虽然 JWT 可以加密以在各方之间提供保密性，但我们将专注于签名令牌。签名的令牌可以验证其中包含的声明的完整性，而加密的令牌会向其他方隐藏这些声明。当使用公钥/私钥对对令牌进行签名时，签名还证明只有持有私钥的一方才是签
PHP接口数据安全解决方案（二）
热门推荐
withoutfear的博客
10-08 1万+
前言 实例演示token签名并创建token 解析token并校验token合法性 类库封装管理jwt实例 前言 JWT是什么 JWT是json web token缩写。它将用户信息加密到token里，服务器不保存任何用户信息。服务器通过使用保存的密钥验证token的正确性，只要正确即通过验证。基于token的身份验证可以替代传统的cookie+session身份验证方法。 它定义了一种用于简洁，自包含的用于通信双方之间以 JSON 对象的形式安全传递信息的方法。JWT 可以使用 HMAC 算法或者
JWT认证原理、流程整合springboot实战应用
01-18
**JWT认证原理** JWT由三个部分组成：Header、Payload和Signature。它们通过`.`分隔，形成一个完整的Token。 1. **Header**：通常包含JWT类型（`typ`）和加密算法（`alg`），如`HS256`，表示使用HMAC SHA-256算法...
springboot整合jwt整合knife4j.zip
01-22
在本文中，我们将深入探讨如何将JWT（JSON Web Token）与Spring Boot以及Knife4j进行整合，以便在后端服务中实现安全、高效的API管理。JWT是一种轻量级的身份验证机制，而Knife4j则是一个优秀的Swagger UI增强工具，...
SpringBoot2.2.6 整合Jwt实现前后端分离
04-23
本篇文章将详细讲解如何在SpringBoot 2.2.6版本中整合MyBatis 3.5.4，并利用JWT技术实现前后端分离。 首先，我们需要了解SpringBoot 2.2.6的核心特性。这一版本提供了许多改进，包括更好的错误处理、自动配置优化...
springboot 整合security jwt 身份鉴权
01-03
总的来说，SpringBoot整合Security与JWT身份鉴权提供了安全的用户认证和授权机制，通过合理的配置和定制，可以适应各种应用场景。在具体实现时，需要对Spring Security的配置有深入理解，并熟悉JWT的原理和使用。...
SpringBoot整合Spring Security的详细教程
08-18
通过本文，我们可以了解到 SpringBoot 整合 Spring Security 的详细教程，包括单点登录、JWT Token、RSA 加密算法、认证服务器用户登录功能等。这些知识点对于学习 Spring Security 的朋友非常有帮助。
接收Request请求Bearer令牌参数
PHPer技术栈
06-06 4350
接收Request请求Bearer令牌参数
ctfhub 技能树 JSON Web Token 修改签名算法
devil8123665的博客
01-23 6531
1、题目提示：有些JWT库支持多种密码算法进行签名、验签。若目标使用非对称密码算法时，有时攻击者可以获取到公钥，此时可通过修改JWT头部的签名算法，将非对称密码算法改为对称密码算法，从而达到攻击者目的。 2、打开题目看到题目给的源码，源码如下， <?php require __DIR__ . '/vendor/autoload.php'; use \Firebase\JWT\JWT; ​ class JWTHelper { public static function encode($pay
Java应用程序的简单令牌认证
最佳 Java 编程
06-10 359
“我喜欢编写身份验证和授权代码。” 〜从来没有Web开发人员。 厌倦了一次又一次地建立相同的登录屏幕？ 尝试使用Okta API进行托管身份验证，授权和多因素身份验证。 JSON Web令牌已Swift成为保护Web应用程序安全的标准，并取代了Cookie和会话等旧技术。 正确使用它们可以解决一系列安全问题，包括跨站点脚本攻击（XSS），中间人攻击（MITM）和跨站点请求伪造（CSRF）。...
springboot整合jwt实现登录用户认证
RemainderTime
07-15 528
序 在springboot项目中结合使用jwt框架对当前登录的用户进行认证，用户信息进行加密返回给前端token jwt相关博文了解： 点击查看什么是jwt? session与jwt不同的实现方式 具体实现 创建一个springboot项目 引入jwt核心依赖和相关基本依 <dependency> <groupId>org.springframework.boot</groupId> &l
Object Oriented Design CS5004
w976j_的博客
07-23 1221
••••。
使用hutool工具判断字符串是否全部是字母(包括大小写)，java判断字符串是否全部是字母(包括大小写)
最新发布
qq_43700885的博客
07-29 310
1.导入hutool的maven依赖。2.复制一下代码执行。
golang 接口
m0_70982551的博客
07-24 1093
接口定义了一组方法，这些方法没有具体的实现。接口类型的变量可以存储任何实现了这些方法的类型的值。// 更多方法...在Go语言中，接口值是指存储了实现某个接口的具体类型值的变量。接口值由两部分组成：1.动态类型：这是接口值当前存储的实际类型。2.动态值：这是实际存储的值，该值必须实现了接口中定义的所有方法。
java判断邮箱地址是否正确，使用hutool工具判断邮箱地址是否正确
qq_43700885的博客
07-29 145
1.导入hutool的maven依赖。2.直接复制一下代码运行。
springboot 整合 shiro 和 jwt
04-11
当然可以，SpringBoot结合Shiro和JWT可以实现安全的用户认证和授权。Shiro是一个强大的安全框架，可以提供身份验证、授权、会话管理等功能。JWT是JSON Web Token的缩写，是一种安全的身份验证方案。结合Shiro和JWT，...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值