Vert.x 用JWT验证Web请求 译<十>

2019独角兽企业重金招聘Python工程师标准>>>

JSON Web Tokens (RFC 7519) 是推荐的JSON-encoded tokens的标准，特别用来验证一个用户和权限，虽然声称这可以用来干任何事情。

toekn是由服务器发布，由服务器密钥签名，客户端后续的请求带上这个token，服务端和客户端都可以验证这个请求是否合法的。

WARNING：一旦JWT令牌签署，其内容是不加密的，必须通过安全的通过传输（e.g., HTTPS)，其中不要包含敏感的数据信息（e.g., passwords, private API keys）

添加JWT支持

在maven依赖中加入vertx-auth-jwt模块：

我们用JCEKS keystore来放测试用的key，这里我们生成不同长度的合适的可以：

keytool -genseckey -keystore keystore.jceks -storetype jceks -storepass secret -keyalg HMacSHA256 -keysize 2048 -alias HS256 -keypass secret
keytool -genseckey -keystore keystore.jceks -storetype jceks -storepass secret -keyalg HMacSHA384 -keysize 2048 -alias HS384 -keypass secret
keytool -genseckey -keystore keystore.jceks -storetype jceks -storepass secret -keyalg HMacSHA512 -keysize 2048 -alias HS512 -keypass secret
keytool -genkey -keystore keystore.jceks -storetype jceks -storepass secret -keyalg RSA -keysize 2048 -alias RS256 -keypass secret -sigalg SHA256withRSA -dname "CN=,OU=,O=,L=,ST=,C=" -validity 360
keytool -genkey -keystore keystore.jceks -storetype jceks -storepass secret -keyalg RSA -keysize 2048 -alias RS384 -keypass secret -sigalg SHA384withRSA -dname "CN=,OU=,O=,L=,ST=,C=" -validity 360
keytool -genkey -keystore keystore.jceks -storetype jceks -storepass secret -keyalg RSA -keysize 2048 -alias RS512 -keypass secret -sigalg SHA512withRSA -dname "CN=,OU=,O=,L=,ST=,C=" -validity 360
keytool -genkeypair -keystore keystore.jceks -storetype jceks -storepass secret -keyalg EC -keysize 256 -alias ES256 -keypass secret -sigalg SHA256withECDSA -dname "CN=,OU=,O=,L=,ST=,C=" -validity 360
keytool -genkeypair -keystore keystore.jceks -storetype jceks -storepass secret -keyalg EC -keysize 256 -alias ES384 -keypass secret -sigalg SHA384withECDSA -dname "CN=,OU=,O=,L=,ST=,C=" -validity 360
keytool -genkeypair -keystore keystore.jceks -storetype jceks -storepass secret -keyalg EC -keysize 256 -alias ES512 -keypass secret -sigalg SHA512withECDSA -dname "CN=,OU=,O=,L=,ST=,C=" -validity 360

我们需要在API routes中接入JWT token的程序：

下面的程序员用来生成新的JWT tokens：

    1.我们希望登录和密码信息已通过HTTP请求头，我们使用Apache Shiro认证

    2.请求角色roles

    3.我们在token生成username, canCreate, canDelete 和 canUpdate

每个API处理方法应该查询当前用户主体和要求，下面是apiDeletePage做的事情：

使用JWT tokens

为了说明JWT token如何工作，让我们为root用户创建一个新的：

返回的文本中就是我们需要保存的token，我们可以尝试不实用token请求下：

通过使用授权的HTTP请求标头，发送一个带有JWT token请求，值急需要在Bearer <token value>。这里我们加上JWT toekn，修正以上的API请求：

采用API测试工具

ApiTest需要更新后支持了JWT tokens,我们需要增加一个新的属性来接受token的值

 

private String jwtTokenHeaderValue;

第一步我们先取token中的用户 foo:

    1.在header中凭证信息

    2.response payload中是text/plain类型，我们可以用BodyCodec编码

    3.成功后返回tokenRequest future对象，带有token

使用JWT token 需要在发送HTTP请求的时候，通过header返回给服务端：

    1.我们把token放到带有Bearer前缀的属性中

    2.把token放到header中

 

原文链接：http://vertx.io/docs/guide-for-java-devs/

有什么需要交流的，可以叫我公众号留言：

 

转载于:https://my.oschina.net/u/2277632/blog/1587101