分布式无状态登录授权解决方案

1.无状态登录

1.1.有状态

在了解无状态登录之前先解释一下什么是有状态：

有状态服务，即服务端需要记录每次会话的客户端信息，从而识别客户端身份，根据用户身份进行请求的处理，最典型的就是Tomcat中的Session。

例如：用户登录后，我们会将登录用户的信息保存在Session中，然后返回用户一个记录Session值的Cookie。下次登录时，用户携带Cookie，服务端识别Cookie中Session，从而验证用户信息。

缺点：

服务端保存大量数据，增加服务端压力

服务端保存用户状态，无法进行水平扩展

客户端请求依赖服务端，多次请求必须访问同一台服务器

1.2无状态

服务端不保存任何客户端请求者信息

客户端的每次请求都自带描述信息，通过这些信息识别客户端身份

好处：

客户端请求不依赖服务端，多次请求不需要访问同一台服务器

服务端可以任意迁移和扩展

减小服务端的存储压力

1.3无状态登录流程

1.当客户端第一次请求服务时，服务端对用户进行身份认证

2.认证通过，将用户信息加密形成token，返回客户端，作为登录凭证

3.以后客户端每次请求，都携带token

4.服务端对token进行解析，判断是否有效

流程图：

整个流程中，token扮演者最重要的角色，token是客户端身份的唯一表示，因此保证token的安全性至关重要。如何保证token的安全？可以采用JWT+RSA非对称加密

2.JWT

2.1 简介

JWT全程JSON Web Tokens， 是JSON风格轻量级的授权和身份认证规范，可实现无状态、分布式的Web应用授权；官网：https://jwt.io

2.2 数据格式

JWT包含三部分数据：

HEADER: ALGORITHM & TOKEN TYPE，头部，通常包含两部分信息：

加密算法

声明类型，这里是JWT

PAYLOAD: DATA，载荷，就是有效数据，一般包含下面信息：

用户身份信息（不要存放敏感信息）

注册声明：如token的签发时间，过期时间，签发人等

以上两部分内容会采用Base64进行加密

VERIFY SIGNATURE：签名，是整个数据的认证信息。一般根据前两步的数据，再加上服务的的密钥（secret）（不要泄漏，最好周期性更换），通过加密算法生成。用于验证整个数据完整和可靠性

如下图所示：

具体的可以去官网查

2.3 非对称加密

最典型的非对称加密算法RSA，基本原理是：同时生成两把密钥：私钥和公钥，私钥隐秘保存，公钥可以下发给信任客户端

• 私钥加密，持有私钥或公钥才可以解密
• 公钥加密，持有私钥才可解密

优点：安全，难以破解

缺点：算法比较耗时

2.4 JWT+RSA交互流程

1.客户端发出请求，服务端通过认证后根据secret加密生成token，并返回给客户端

2.用户每次请求携带token

3.服务端利用公钥解读token，判断token有效后，从PAYLOAD中获取用户信息

4.返回响应结果

因为JWT签发的token中已经包含了用户的身份信息，并且每次请求都会携带，这样服务的就无需保存用户信息，甚至无需去数据库查询，这样符合无状态规范

如何判定token是否有效？

其实JWT在解析有效token时，能够正常解析出数据的，则是有效token，一旦token失效或者是伪造，则必然会解析出错

2.5 结合Zuul的鉴权流程

如果不了解Zuul，可以先去了解一下，Zuul在微服务集群中相当于一个大门，所有的请求都会先到达Zuul服务，然后被转发到各个微服务，因此对用户身份鉴权的动作可以放在Zuul中进行。

直接看图：

首先利用RSA生成公钥和私钥，私钥保存在授权中心，公钥保存在Zuul和各个微服务中

用户请求登录，授权中心校验，通过JWT加上RSA算法将用户信息加密成token，返回给客户端

用户携带token访问

Zuul直接通过公钥解密token，进行验证，验证通过则放行

请求到达微服务，微服务通过公钥解析出token中的用户信息

以上流程的优点：

每次请求无需多次访问授权中心，只需要Zuul服务解析用户自带token即可

3.代码实现

3.1 授权中心服务

auth-service

需要完成的工作有：

1.使用RsaUtils工具类生成公钥密钥，并保存在磁盘

2.编写对外登录验证接口

3.验证用户名密码是否正确，如果正确则根据JwtUtils工具类生成token

4.token写入客户端Cookie

3.2 Zuul网关服务

gateway-service

编写Zuul网关自带过滤器实现类，获取request请求中的cookie，获取token，使用JwtUtils工具类进行解析，解析正常则放行，失败则返回禁止访问等

具体代码详见github：

https://github.com/ithushuai/cloud