总结：WEB服务鉴权

小魏的博客

已于 2023-07-14 14:20:32 修改

阅读量602

点赞数

分类专栏： Java 分布式系统文章标签： WEB验证鉴权

于 2023-07-14 10:07:01 首次发布

本文链接：https://blog.csdn.net/w2009211777/article/details/131717190

版权

88 篇文章 5 订阅

订阅专栏

11 篇文章 1 订阅

订阅专栏

一、背景

之前小组同事分享了安全方面的知识，在优化相关功能时，有个接口多加了一层认证，但是认证方式很多，我当时使用了数字签名认证的方式，今天梳理下认证相关的知识。

阿里云和华为云都对账号开通了双因素认证，即除了账号密码之外，还需要一个第三方实时生成的验证码。

其实双因素认证早在十几年前就已经开始应用，诸如短信验证码、邮件验证码、动态令牌、RSA电子动态令牌等都属于双因素认证。各大网银广泛使用的各种盾、各种 Key 其实也属于双因素认证，包括短信验证码，它能够让用户的数据多一层保护。

第一种是短信验证，也是目前较为常用的，每一次认证时会生成短信验证码发送到指定手机上，输入的内容与发送的内容一致则完成认证。
第二种是认证APP，基于TOTP的加密算法，利用应用与认证APP共同持有的种子密钥，每隔30秒生成一个新的6位验证码，应用与APP之间的验证码一致则完成验证，通常在公司内部使用的VPN就是采用这种方式来进行身份验证。
第三种是登录确认的方式，这种方式不需要输入验证码，而是通过登录确认点击的方式来完成双因素认证的过程，这种方式是通过公钥加密算法来确认你的身份，应用会生成一个密钥对，私钥存储在本地，公钥发送给服务端作为用户信息存储，当用户进行登录操作时，服务端会用公钥加密一段信息发送到你的设备上，只有拥有正确私钥的设备才能解密并完成二次认证。