一、问题说明
HTTP是无状态的,每一次请求都是独立的,下一次请求不会携带上一次请求的数据。因此无法判断用户是否登录。
二、解决思路
在后端增加一个统一拦截,在每次请求后端服务器的时候,首先要进行校验。如果用户已经有了登录标记,那么可以正常请求接口。如果用户没有获取登录标记,或者登录标记有问题,那么就会给前端响应一个错误信息。
三、具体解决方法
1.会话跟踪Cookie
浏览器第一次请求的时候,服务器会响应一个cookie,浏览器将cookie解析出来,存储在客户端的本地中,后面每次请求都会将Cookie携带到请求头中
-
优点:HTTP协议中支持的技术
-
缺点:
-
移动端APP无法使用Cookie
-
存储到用户本地不安全,用户可以自己禁用Cookie
-
Cookie不能跨域【前后端不是同一台服务器】
协议、IP地址、端口号三者只要有一个不同就是跨域操作。
-
2.会话跟踪Session
Session的底层就是使用Cookie实现的。
浏览器第一次访问的时候,服务器会产生一个session,然后服务器会把session的id放到Cookie中返回给客户端,客户端接收之后就会将这个Cookie保存起来,下次请求的时候就会携带这个Cookie去找Session
- 优点:存储在服务器,安全
- 缺点:
- 在服务器集群环境下无法直接使用
- Cookie的缺点他都有
3.令牌技术
存储在客户端的身份凭证,每次访问都会校验
- 优点:
- 支持PC端、移动端
- 解决集群环境下的认证问题
- 减轻服务器存储压力
- 缺点:需要自己实现
四、JWT令牌
1.JWT简介
全称:JSON Web Token
将原始的json数据进行封装。可以在里面存储我们自定义的信息。
后端生成的jwt令牌会被前端保存在token中,每次请求都会在请求头的token参数中携带,所以可以使用request.getHead方法获取token
2.JWT的组成
由三部分组成,每个部分中间使用
.
隔开
-
第一部分:记录令牌类型和签名算法等。例如:
{"alg":"HS256","type":"JWT"}
数据经过Base64编码后得到第一串数据
-
第二部分:可以携带一些自定义内容、默认信息等。例如:
{"id":"1","username":"Tom"}
-
第三部分:签名。将第一部分、第二部分、指定密钥通过指定算法计算而来。防止Token被篡改,确保安全性。
3.应用场景
浏览器发起登录请求,登录成功后,服务器会产生一个JWT令牌,然后将JWT令牌返回给前端。前端拿到之后会存储起来。然后在后续的请求中,每一次请求都会携带JWT令牌。服务端会将请求先拦截下来,校验是否携带令牌,如果没携带直接报错,如果携带了就会进行校验
4.JWT基本使用
-
引入JWT令牌的依赖
<dependency> <groupId>io.jsonwebtoken</groupId> <artifactId>jjwt</artifactId> <version>0.9.1</version> </dependency>
-
在登录方法上生成JWT令牌
Map<String, Object> claims = new HashMap<>();//保存我们自定义数据的集合 //调用Jwts.builder方法生成JWT令牌 String jwt = Jwts.builder() //指定第一部的分签名算法(令牌类型就是jwt所以不需要指定type了)和密钥 .signWith(SignatureAlgorithm.HS256, "junqing")//这里的第二个参数就是密钥 //第二部分:设置自定义数据【需要一个Map集合】 .setClaims(claims) //设置令牌有效期(单位是毫秒,1000毫秒=1秒) .setExpiration(new Date(System.currentTimeMillis() + 3600 * 1000)) .compact();//会将结果转化成一个字符串
-
解析JWT令牌【不报错就是正常】
//调用Jwts.parser方法解析JWT令牌 Claims junqing = Jwts.parser() .setSigningKey("junqing")//密钥【需要和加密的一样】 .parseClaimsJws(jwt)//需要解码的令牌字符串 .getBody();//获取自定义内容【map集合中的信息】