jwt需要存redis吗_想让 OAuth2 和 JWT 在一起愉快玩耍？请看松哥的表演

今日干货

刚刚发表查看: 66666 回复:666

公众号后台回复 ssm，免费获取松哥纯手敲的 SSM 框架学习干货。

本文是我们 OAuth2 系列的第五篇，通过前面四篇文章相信大家对于 OAuth2 中的各种授权登录流程已经轻车熟路了。

前面的文章松哥侧重于和大家理清楚 OAuth2 的登录流程，对于一些登录细节则没有去深究，接下来松哥会和大家把这些案例一一进行晚上。

本文依然是在前面案例的基础上完成，所以还是强烈建议小伙伴们阅读本系列前面的文章：

1. 做微服务绕不过的 OAuth2，松哥也来和大家扯一扯
2. 这个案例写出来，还怕跟面试官扯不明白 OAuth2 登录流程？
3. 死磕 OAuth2，教练我要学全套的！
4. OAuth2 令牌还能存入 Redis ？越玩越溜！

今天松哥主要和大家分享如何把 OAuth2 和 JWT 套在一起玩！

传统的通过 session 来记录用户认证信息的方式我们可以理解为这是一种有状态登录，而 JWT 则代表了一种无状态登录。「无状态登录天然的具备单点登录能力，所以这个技术组合小伙伴们还是很有必要认真学习下。」 可能有小伙伴对这个概念还不太熟悉，我这里就先来科普一下有状态登录和无状态登录。

1. 无状态登录

1.1 什么是有状态

有状态服务，即服务端需要记录每次会话的客户端信息，从而识别客户端身份，根据用户身份进行请求的处理，典型的设计如 Tomcat 中的 Session。例如登录：用户登录后，我们把用户的信息保存在服务端 session 中，并且给用户一个 cookie 值，记录对应的 session，然后下次请求，用户携带 cookie 值来(这一步有浏览器自动完成)，我们就能识别到对应 session，从而找到用户的信息。这种方式目前来看最方便，但是也有一些缺陷，如下：

• 服务端保存大量数据，增加服务端压力
• 服务端保存用户状态，不支持集群化部署

1.2 什么是无状态

微服务集群中的每个服务，对外提供的都使用 RESTful 风格的接口。而 RESTful 风格的一个最重要的规范就是：服务的无状态性，即：

• 服务端不保存任何客户端请求者信息
• 客户端的每次请求必须具备自描述信息，通过这些信息识别客户端身份

那么这种无状态性有哪些好处呢？

• 客户端请求不依赖服务端的信息，多次请求不需要必须访问到同一台服务器
• 服务端的集群和状态对客户端透明
• 服务端可以任意的迁移和伸缩(可以方便的进行集群化部署)
• 减小服务端存储压力

1.3 如何实现无状态

无状态登录的流程：

• 首先客户端发送账户名/密码到服务端进行认证
• 认证通过后，服务端将用户信息加密并且编码成一个 token，返回给客户端
• 以后客户端每次发送请求，都需要携带认证的 token
• 服务端对客户端发送来的 token 进行解密，判断是否有效，并且获取用户登录信息

1.4 JWT

1.4.1 简介

JWT，全称是 Json Web Token ， 是一种 JSON 风格的轻量级的授权和身份认证规范，可实现无状态、分布式的 Web 应用授权：

JWT 作为一种规范，并没有和某一种语言绑定在一起，常用的 Java 实现是 GitHub 上的开源项目 jjwt，地址如下：https://github.com/jwtk/jjwt

1.4.2 JWT 数据格式

JWT 包含三部分数据：

1.Header：头部，通常头部有两部分信息：

• 声明类型，这里是JWT
• 加密算法，自定义

我们会对头部进行 Base64Url 编码(可解码)，得到第一部分数据。

2