jwt token注销_JWT的Token登录认证，你用过没？

最新推荐文章于 2024-02-20 01:41:07 发布
最新推荐文章于 2024-02-20 01:41:07 发布
阅读量781 收藏
点赞数
文章标签： jwt token注销
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_35259908/article/details/112013167
版权

1.JWT简介

JSON Web Token (JWT)是一个开放标准(RFC 7519)，它定义了一种紧凑的、自包含的方式，用于作为JSON对象在各方之间安全地传输信息。该信息可以被验证和信任，因为它是数字签名的。

2 JSON Web Token的应用场景

Authorization (授权) : 这是使用JWT的最常见场景。一旦用户登录，后续每个请求都将包含JWT，允许用户访问该令牌允许的路由、服务和资源。

单点登录是现在广泛使用的JWT的一个特性，因为它的开销很小，并且可以轻松地跨域使用。

Information Exchange (信息交换) : 对于安全的在各方之间传输信息而言，JSON Web Tokens无疑是一种很好的方式。因为JWT可以被签名，例如，用公钥/私钥对，你可以确定发送人就是它们所说的那个人。另外，由于签名是使用头和有效负载计算的，您还可以验证内容没有被篡改。

3 JWT的原理

服务器认证以后，生成一个JSON格式的对象，发回给客户端，比如下面的这段json格式。

{

"用户名": "admin",

"角色": "超级管理员",

"到期时间": "2020-07-13 00:00:00"

}

以后客户端与服务端通信的时候，都要发回这个 JSON 对象。服务器靠这个json对象认定用户的身份。

为了防止用户篡改数据，服务器在生成这个对象的时候，会加上签名，显得更加安全。

这个时候的服务器不再保存任何 session 数据，也就是服务器变成无状态了，从而比较容易实现扩展。

4.JWT的数据结构

实际的 JWT是一个很长的字符串，中间用点(.)分隔成三个部分。就像下面这样：

eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiIsImp0aSI6IjNmMmc1N2E5MmFhIn0.eyJpYXQiOjE1NjI4

MzM0MDgsImlzcyI6Imh0dHA6XC9cL3d3dy5weWcuY29tIiwiYXVkIjoiaHR0cDpcL1wvd3d3LnB5Zy5j

b20iLCJuYmYiOjE1NjI4MzM0MDcsImV4cCI6MTU2MjkxOTgwOCwianRpIjoiM2YyZzU3YTkyYWEiLCJ1

c2VyX2lkIjoxfQ.NFq1qQ-Z5c4pwit8ZkyWEwX6SBXmnHJcc6ZDgSD5nhU

JWT的三个部分依次如下：

- Header(头部)

- Payload(负载)

- Signature(签名)

5.JWT的使用方式

客户端收到服务器返回的 JWT，可以储存在 Cookie 里面，也可以储存localStorage。

此后，客户端每次与服务器通信，都要带上这个 JWT。你可以把它放在 Cookie 里面自动发送，但是这样不能跨域，所以更好的做法是放在 HTTP 请求的头信息Authorization字段里面

6.JWT的几个特点

1)JWT 默认是不加密，但也是可以加密的。生成原始 Token 以后，可以用密钥再加密一次。

2)JWT 不加密的情况下，不能将秘密数据写入 JWT。

3)JWT 不仅可以用于认证，也可以用于交换信息。有效使用 JWT，可以降低服务器查询数据库的次数。

4)JWT 的最大缺点是，由于服务器不保存 session 状态，因此无法在使用过程中废止某个 token，或者更改 token 的权限。也就是说，一旦 JWT 签发了，在到期之前就会始终有效，除非服务器部署额外的逻辑。

5)JWT 本身包含了认证信息，一旦泄露，任何人都可以获得该令牌的所有权限。为了减少盗用，JWT 的有效期应该设置得比较短。对于一些比较重要的权限，使用时应该再次对用户进行认证。

6)为了减少盗用，JWT 不应该使用 HTTP 协议明码传输，要使用 HTTPS 协议传输。

7 基于Token的身份认证 与 基于服务器的身份认证

在讨论基于Token的身份认证是如何工作的以及它的好处之前，我们先来看一下以前我们是怎么做的：HTTP协议是无状态的，也就是说，如果我们已经认证了一个用户，那么他下一次请求的时候，服务器不知道我是谁，我们必须再次认证

传统的做法是将已经认证过的用户信息存储在服务器上，比如Session。用户下次请求的时候带着Session ID，然后服务器以此检查用户是否认证过。

这种基于服务器的身份认证方式存在一些问题：

Sessions : 每次用户认证通过以后，服务器需要创建一条记录保存用户信息，通常是在内存中，随着认证通过的用户越来越多，服务器的在这里的开销就会越来越大。

Scalability : 由于Session是在内存中的，这就带来一些扩展性的问题。

CORS : 当我们想要扩展我们的应用，让我们的数据被多个移动设备使用时，我们必须考虑跨资源共享问题。当使用AJAX调用从另一个域名下获取资源时，我们可能会遇到禁止请求的问题。

CSRF : 用户很容易受到CSRF攻击。

很多PHPer在进阶的时候总会遇到一些问题和瓶颈，业务代码写多了没有方向感，不知道该从那里入手去提升，对此我整理了一些资料，希望能够去帮助到小伙伴们，可以加入一下我创建的圈子【PHP架构师圈子】，里面有我分享的小白进阶到架构师的学习资料以及路线。PHP架构师圈子 - 知乎​www.zhihu.com

JWT与Session的差异

相同点是，它们都是存储用户信息；然而，Session是在服务器端的，而JWT是在客户端的。

Session方式存储用户信息的最大问题在于要占用大量服务器内存，增加服务器的开销。而JWT方式将用户状态分散到了客户端中，可以明显减轻服务端的内存压力。

Session的状态是存储在服务器端，客户端只有session id；而Token的状态是存储在客户端。

基于Token的身份认证是如何工作的

基于Token的身份认证是无状态的，服务器或者Session中不会存储任何用户信息。

没有会话信息意味着应用程序可以根据需要扩展和添加更多的机器，而不必担心用户登录的位置。

虽然这一实现可能会有所不同，但其主要流程如下：

用户携带用户名和密码请求访问 -服务器校验用户凭据 -应用提供一个token给客户端 -客户端存储token，并且在随后的每一次请求中都带着它 -服务器校验token并返回数据。

用Token的好处

无状态和可扩展性：Tokens存储在客户端。完全无状态，可扩展。我们的负载均衡器可以将用户传递到任意服务器，因为在任何地方都没有状态或会话信息。

安全：Token不是Cookie。(The token, not a cookie.)每次请求的时候Token都会被发送。而且，由于没有Cookie被发送，还有助于防止CSRF攻击。即使在你的实现中将token存储到客户端的Cookie中，这个Cookie也只是一种存储机制，而非身份认证机制。没有基于会话的信息可以操作，因为我们没有会话!

还有一点，token在一段时间以后会过期，这个时候用户需要重新登录。这有助于我们保持安全。还有一个概念叫token撤销，它允许我们根据相同的授权许可使特定的token甚至一组token无效。

8.JWT功能实现

使用composer安装 JWT 功能组件

composer require lcobucci/jwt 3.3

详细的PHP与JWT代码参考：(可滑动查看)

namespace tools\jwt;

use Lcobucci\JWT\Builder;

use Lcobucci\JWT\Parser;

use Lcobucci\JWT\Signer\Hmac\Sha256;

use Lcobucci\JWT\ValidationData;

/*** Created by PhpStorm.* User: asus* Date: 2020/4/5* Time: 13:02*/

class Token

{

private static $_config = [

'audience' => '',//接收人 'id' => '',//token的唯一标识，这里只是一个简单示例 'sign' => '',//签名密钥 'issuer' => '',//签发人 'expire' => 3600*24 //有效期 ];

//生成token public static function getToken($user_id){

//签名对象 $signer = new Sha256();

//获取当前时间戳 $time = time();

//设置签发人、接收人、唯一标识、签发时间、立即生效、过期时间、用户id、签名 $token = (new Builder())->issuedBy(self::$_config['issuer'])

->canOnlyBeUsedBy(self::$_config['audience'])

->identifiedBy(self::$_config['id'], true)

->issuedAt($time)

->canOnlyBeUsedAfter($time-1)

->expiresAt($time + self::$_config['expire'])

->with('user_id', $user_id)

->sign($signer, self::$_config['sign'])

->getToken();

return (string)$token;

}

//从请求信息中获取token令牌 public static function getRequestToken()

{

if (empty($_SERVER['HTTP_AUTHORIZATION'])) {

return false;

}

$header = $_SERVER['HTTP_AUTHORIZATION'];

$method = 'bearer';

//去除token中可能存在的bearer标识 return trim(str_ireplace($method, '', $header));

}

//从token中获取用户id (包含token的校验) public static function getUserId($token = null)

{

$user_id = null;

$token = empty($token)?self::getRequestToken():$token;

if (!empty($token)) {

//为了注销token 加以下if判断代码 $delete_token = cache('delete_token') ?: [];

if(in_array($token, $delete_token)){

//token已被删除(注销) return $user_id;

}

$token = (new Parser())->parse((string) $token);

//验证token $data = new ValidationData();

$data->setIssuer(self::$_config['issuer']);//验证的签发人 $data->setAudience(self::$_config['audience']);//验证的接收人 $data->setId(self::$_config['id']);//验证token标识

if (!$token->validate($data)) {

//token验证失败 return $user_id;

}

//验证签名 $signer = new Sha256();

if (!$token->verify($signer, self::$_config['sign'])) {

//签名验证失败 return $user_id;

}

//从token中获取用户id $user_id = $token->getClaim('user_id');

}

return $user_id;

}

}

以上内容希望帮助到大家，需要更多文章可以关注公众号:PHP从入门到精通，很多PHPer在进阶的时候总会遇到一些问题和瓶颈，业务代码写多了没有方向感，不知道该从那里入手去提升，对此我整理了一些PHP高级、架构视频资料和大厂PHP面试PDF免费获取,

李昭材
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
Webapi_JWT_Authentication-master_webapi_jwt_token_
10-03
webapi jwt身份验证请求token(亲测通过)源码
python基础教程微信_python基础教程之微信小程序登录对接Django后端实|python基础教程|python入门|python教程...
weixin_39639919的博客
11-24 279
https://www.xin3721.com/eschool/pythonxin3721/先上效果图点击授权按钮后可以显示部分资料和头像，点击修改资料可以修改部分资料。流程1.使用微信小程序登录和获取用户信息Api接口2.把Api获取的用户资料和code发送给django后端3.通过微信接口把code换取成openid4.后端将openid作为用户名和密码5.后端通过JSON web token...
python token过期_JWT生成token及过期处理方案
weixin_39670857的博客
12-05 3215
业务场景在前后分离场景下，越来越多的项目使用token作为接口的安全机制，APP端或者WEB端(使用VUE、REACTJS等构建)使用token与后端接口交互，以达到安全的目的。本文结合stackoverflow以及本身项目实践，试图总结出一个通用的，可落地的方案。基本思路单个tokentoken(A)过期设置为15分钟前端发起请求，后端验证token(A)是否过期；如果过期，前端发起刷新toke...
十分钟，带你看懂JWT（Json Web Token）
cul1n的博客
02-20 1160
在挖掘 SRC 的时候，面对一些 SSO 的场景，经常会看到一些奇奇怪怪的数据，这些数据多以三段式加密方式呈现，在后续的学习过程中，明白了此类令牌名为Token，在之前的学习过程中简单了解了下 JWT 的呈现方式，但是对其更深入的内容浅尝辄止，本篇文章从一个全面的方向了解，什么是 JWT，JWT 如何利用和攻击，旨在帮助安全从业人员更好的了解网络安全的令牌工作机制。本文配套靶场地址为WebGoat靶场身份验证及失败部分。
如何使用jwt 完成注销(退出登录)功能
weixin_39813433的博客
01-03 1万+
原文 神奇的 JSON Web Tokens（JWT） JSON Web Tokens (JWT) 是一种无状态处理用户身份验证的方法。 什么意思? JWT帮助建立认证机制而不将身份验证状态存储在任何存储中，无论是会话内存还是数据库，因此, 当检查用户的身份验证状态时，不需要访问会话内存或执行数据库查询。相反, 根据你选择的用户payload生成token 并在客户端的请求中使用它来标识服务器上的用户 ???? 因此，基本上，每当创建token时，就可以永远使用它，或者直到它过期为止。 JWT生成器可以
jwt退出登录/修改密码时如何使原来的token失效
乾坤未定，你我皆是黑马
11-20 1万+
其实前端删掉这个Token不就行了吗（小声bb 不行，这样即使退出登录后拿着以前的token还是可以访问到。 看了半天，感觉网上没有好的解决方案。真让人头大。如何Logout呢? 既然接口有这个要求，必须实现啊。绞尽脑汁，写一下可行的两种方法，虽然还是挺蠢的。 第一种办法: 登录第一次生成token时，把token存入数据库。每次请求验证一下是不是和数据库的token一样。退出登录时，删掉数据...
jwt，token生成,续约,注销操作浅谈
u010772230的专栏
12-23 7303
JWT JSON Web Token（缩写 JWT）是目前最流行的跨域认证解决方案 原理 JWT 的原理是，服务器认证以后，生成一个 JSON 对象，发回给用户，由客户端来保存登录信息。此后，客户端每次与服务器通信，都要带上这个 JWT。生成的token可以放在HTTP 请求的头信息Authorization字段里面，也可以放在 POST 请求的数据体里面。当然也可以把它放在 Cookie...
jwt token注销_基于JWT的Token登录认证
weixin_39561004的博客
01-12 536
JWT简介 ：json Web Token(缩写JWT)是目前最流行的跨域认证解决方案session登录的认证方案是看，用户从客户端传递用户名和密码登录信息，服务端认证后将信息储存在session中，将session_id放入cookie中，以后访问其他页面，服务器都会带着cookie，服务端会自动从cookie中获取session_id,在从session中获取认证信息。JWT的解决方案是，将认...
搞懂 JWT 这个知识点
程序员成长指北
09-22 629
什么是 JWT概念JSON Web Token（简称 JWT）是目前最流行的跨域认证解决方案。JWT 原理JWT 组成JWT 由三部分组成:Header，Payload，Signatur...
jwt_token_test.zip
05-21
java使用jwt实现移动端api接口token认证。使用场景：app调用后台api接口用户验证。---------
JWT Token生成及验证
07-16
JWT Token生成及验证:JSON WEB TOKEN，简单谈谈TOKEN的使用及在C#中的实现
thinkphp框架使用JWTtoken的方法详解
01-03
本文实例讲述了thinkphp框架使用JWTtoken的方法。分享给大家供大家参考，具体如下： 简介 一：JWT介绍：全称JSON Web Token，基于JSON的开放标准((RFC 7519) ，以token的方式代替传统的Cookie-Session模式，用于各...
JWT 实现登录认证 + Token 自动续期方案，这才是正确的使用姿势！
最新发布
03-17
JWT 实现登录认证 + Token 自动续期方案，这才是正确的使用姿势！
访问认证（三）：Bearer
Tdh5258的博客
07-24 1万+
当前最流行的 token 编码方式是 JSON Web Token （JWT）。JWT 是 Bearer Token 的一个具体实现，由JSON 数据格式组成，通过HASH 散列算法生成一个字符串。该字符串可以用来进行 授权 和 信息交换。使用 JWT Token 进行认证有很多优点。比如：（1）无需在服务端存储用户数据，可以减轻服务端压力；（2）采用 JSON 数据格式，易读；（3）跨语言、轻量级；
jwt token注销_如何在注销时销毁JWT令牌？
weixin_30119251的博客
12-29 1万+
6 个答案:答案 0 :(得分：42)JWT存储在浏览器上，因此删除在客户端删除cookie的令牌如果您还需要在服务器端到期之前使令牌无效，例如帐户已删除/阻止/暂停，密码已更改，权限已更改，用户已由管理员注销，请查看Invalidating JSON Web Tokens一些公共技术，如创建黑名单或旋转令牌答案 1 :(得分：7)创建令牌后，无法手动使令牌失效。因此，实际上无法像在会话中那样在服...
fastadmin token 验证错误_基于token机制鉴权架构
weixin_39620037的博客
11-22 1252
常见的鉴权方式有两种，一种是基于session，另一种是基于token方式的鉴权，我们来浅谈一下两种 鉴权方式的区别。两种鉴权方式对比session安全性：session是基于cookie进行用户识别的，cookie如果被截获，用户很容易受到跨站请求伪造的攻击。扩展性：session是有状态的，是具有IP黏贴性和有中心化特性的，在分布式环境下，虽然每台服务器业务逻辑一样，但是session是保存在...
【SSO单点登录】JWT如何防篡改&&主动注销【黑白名单机制】
m0_57042151的博客
10-13 1520
这种方式和cookie/session机制中的会话失效删除session基本一致，但同时也违背了JWT的初衷，每次登录，我们都需要存储token，跟session一样有内存开销问题。上文我们谈到，一般注销只需要前端销毁存储在客户端的token即可，但那样的话，其实token本质上是还能用，一旦泄露了，你的登录状态就能被别人利用。黑名单机制，巧妙的解决了存储的问题，而且存储量是远远小于，大多数情况下，登录状态都是token自动过期了，而不是用户主动注销。JWT 安全的核心在于签名，签名安全的核心在秘钥。
解决使用jwt刷新token带来的问题
一万年太久 - 只争朝夕
06-15 3万+
前后端分离，使用token的方式校验用户信息，我选择了jwt，使用的教程在网上可以找到很多，不做介绍。 这里说明一个使用过程中，最重要的的一个环节刷新token带来的问题。 业务要达到的目标： 用户登录一次之后，前端保存token，后面每次向后端请求的时候，header都带上authorization信息，后端从请求中解析token，根据token验证用户信息，返回相应的信息。 相信大部分...
JWT——Token认证的两种实现和安全详解
热门推荐
二缺和傻宝宝的博客
06-26 8万+
前言： 最近因为项目中需要解决跨域取值的问题，所有考虑到用Token认证做技术支撑点，自己看了许多与之相关的文章，从中总结出了以下两个要点(签名和token时间)。在说这两个要点之前先大概简单说一下与之有关的一些问题。 首先，如果你对token认证的知识一点都不了解，那么我觉得这篇文章还不太适合你，因为我在这里不会在把相关的基础知识再说明一遍，因为网上有很多相关的文章，讲的都比较好，我会在文章
JWT_REFRESH_TOKEN_EXPIRES 怎么使用，给我写一个例子
03-20
JWT_REFRESH_TOKEN_EXPIRES 是一个用于设置 JWT 刷新令牌过期时间的变量，它通常与 JWT_ACCESS_TOKEN_EXPIRES 一起使用。下面是一个使用 Flask-JWT-Extended 扩展的例子： ```python from flask import Flask from flask_jwt_extended import JWTManager, create_access_token, create_refresh_token, jwt_required, jwt_refresh_token_required, get_jwt_identity, get_raw_jwt app = Flask(__name__) app.config['JWT_SECRET_KEY'] = 'super-secret' # 设置 JWT 密钥 app.config['JWT_ACCESS_TOKEN_EXPIRES'] = 3600 # 设置访问令牌过期时间为 1 小时 app.config['JWT_REFRESH_TOKEN_EXPIRES'] = 604800 # 设置刷新令牌过期时间为 1 周 jwt = JWTManager(app) # 用户登录，生成访问令牌和刷新令牌 @app.route('/login', methods=['POST']) def login(): username = request.json.get('username', None) password = request.json.get('password', None) if username != 'admin' or password != 'admin': return jsonify({'msg': 'Invalid username or password'}), 401 access_token = create_access_token(identity=username) refresh_token = create_refresh_token(identity=username) return jsonify({'access_token': access_token, 'refresh_token': refresh_token}), 200 # 使用访问令牌访问受保护的资源 @app.route('/protected', methods=['GET']) @jwt_required def protected(): current_user = get_jwt_identity() return jsonify({'msg': f'Hello, {current_user}!'}), 200 # 使用刷新令牌刷新访问令牌 @app.route('/refresh', methods=['POST']) @jwt_refresh_token_required def refresh(): current_user = get_jwt_identity() access_token = create_access_token(identity=current_user) return jsonify({'access_token': access_token}), 200 if __name__ == '__main__': app.run() ``` 在上面的例子中，我们设置了 JWT_REFRESH_TOKEN_EXPIRES 为 1 周，表示刷新令牌在 1 周后过期。当用户登录成功后，我们生成了一个访问令牌和一个刷新令牌，并将它们返回给客户端。当客户端使用访问令牌访问受保护的资源时，我们使用 @jwt_required 装饰器来保护该路由，只有在客户端提供有效的访问令牌时才能访问。当客户端的访问令牌过期时，客户端可以使用刷新令牌来获取新的访问令牌，我们使用 @jwt_refresh_token_required 装饰器来保护刷新令牌路由，只有在客户端提供有效的刷新令牌时才能刷新访问令牌。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值