身份验证和授权详细讲解

最新推荐文章于 2025-03-06 14:04:21 发布

存在后于本质

最新推荐文章于 2025-03-06 14:04:21 发布

阅读量2.1k

点赞数 42

文章标签：前端

本文链接：https://blog.csdn.net/weixin_42548252/article/details/144403283

版权

身份验证和授权的详细讲解

身份验证（Authentication） 和 授权（Authorization） 是现代 Web 和移动应用开发中两个核心的安全概念。它们经常一起使用，但执行的任务和目的不同。

1. 身份验证（Authentication）

1.1 什么是身份验证？

身份验证是用来验证用户的身份，确保用户是他们声称的那个人。
问题回答：“你是谁？”
用户在身份验证过程中通常需要提供凭据，如用户名、密码、指纹或其他生物特征。

1.2 身份验证的流程

用户提交凭据（如用户名和密码）。
服务器检查凭据是否正确。
如果凭据正确，服务器为用户创建会话或返回一个令牌（如 JWT）。
用户可以使用会话或令牌访问受保护的资源。

1.3 常见身份验证方式

1.3.1 基于用户名和密码

最常见的方式。
用户输入用户名和密码，服务器验证。
安全实践：
- 加密存储密码：密码应使用如 bcrypt 的哈希算法加密后存储。
- 防止暴力破解：添加登录限制和错误次数限制。

1.3.2 Token-Based Authentication（基于令牌的身份验证）

用户登录后，服务器返回一个令牌（Token），如 JSON Web Token (JWT)。
令牌被存储在客户端（如 Cookie 或 LocalStorage）并附加到每次请求中。
优点：
- 无状态（Stateless）：服务器不需要存储会话。
- 易于扩展：适用于跨域或多平台应用。

示例：JWT 流程

用户发送用户名和密码到 /login。
服务器验证后，返回一个签名的 JWT。
客户端在后续请求中附加令牌：
```
Authorization: Bearer <JWT>
```

1.3.3 OAuth

一个开放标准，用于第三方应用访问用户数据（如 Google 登录）。
流程：
1. 用户通过 OAuth 提供商（如 Google）进行登录授权。
2. 应用收到授权码，向提供商请求访问令牌。
3. 使用访问令牌访问用户数据。

1.3.4 生物认证

使用指纹、面部识别、语音识别等。
安全性高，用户体验更好。
适合需要高度安全的场景。

1.4 身份验证的存储和管理

1.4.1 Session-Based Authentication

使用 会话（Session） 来管理用户的登录状态。
服务端存储用户的会话信息，通常通过 Cookie 传递会话 ID。

流程：

用户登录成功后，服务器创建会话并返回会话 ID。
会话 ID 存储在客户端 Cookie 中。
客户端每次请求时附带 Cookie，服务器验证会话 ID。

1.4.2 Token-Based Authentication

使用 JWT 或其他令牌，无需服务器存储会话。

1.4.3 单点登录（SSO）

用户只需登录一次即可访问多个相关应用。
使用 OAuth 或 OpenID Connect 协议。

2. 授权（Authorization）

2.1 什么是授权？

授权是用来决定用户可以访问哪些资源或执行哪些操作。
问题回答：“你可以做什么？”

2.2 授权的核心概念

2.2.1 角色（Role）

用户通常会被赋予某些角色，如管理员（Admin）、普通用户（User）。
每个角色定义一组权限。

2.2.2 权限（Permission）

权限是具体的操作，比如“可以查看用户列表”、“可以删除文章”。
用户通过角色间接获得权限。

2.2.3 资源（Resource）

授权的对象，例如数据库记录、文件等。

2.3 授权的策略

2.3.1 基于角色的访问控制（RBAC, Role-Based Access Control）

用户通过角色获取权限。
优点：简单易管理。
示例：
- Admin：可以管理用户、修改权限。
- User：只能查看自己的数据。

代码示例：

function authorize(user, action) {
  const roles = {
    admin: ['create', 'delete', 'view'],
    user: ['view'],
  };

  return roles[user.role]?.includes(action);
}

// 检查权限
if (authorize(currentUser, 'delete')) {
  console.log('Access granted');
} else {
  console.log('Access denied');
}

2.3.2 基于属性的访问控制（ABAC, Attribute-Based Access Control）

使用用户属性（如职位、部门、年龄）和资源属性（如机密级别）进行授权。
更灵活，但复杂度较高。

2.3.3 细粒度控制（Fine-Grained Access Control）

通过行级别或列级别的数据权限控制。
示例：用户只能访问自己创建的文章。

3. 身份验证和授权的结合

身份验证和授权经常结合使用：

身份验证：确定用户是谁（例如，使用用户名和密码登录）。
授权：确定用户能做什么（例如，用户是否有权限删除文章）。

4. 安全最佳实践

4.1 身份验证

加密密码存储：使用 bcrypt 或 argon2 哈希算法。
多因素认证（MFA）：增加额外的安全层（如短信验证码、动态令牌）。
防止暴力破解：添加账户锁定或登录尝试次数限制。

4.2 授权

最小权限原则：默认情况下拒绝所有访问，仅授予必要的权限。
定期审查权限：确保用户权限不被滥用。
细粒度控制：确保用户只能访问和操作他们被允许的资源。

5. 示例：基于 JWT 的身份验证和授权

5.1 登录并生成 JWT

const jwt = require('jsonwebtoken');

// 登录处理
app.post('/login', (req, res) => {
  const { username, password } = req.body;

  // 验证用户凭据
  if (username === 'admin' && password === '1234') {
    const token = jwt.sign({ username, role: 'admin' }, 'SECRET_KEY', {
      expiresIn: '1h',
    });
    return res.json({ token });
  }

  return res.status(401).json({ message: 'Invalid credentials' });
});

5.2 授权中间件

const authorize = (requiredRole) => (req, res, next) => {
  const authHeader = req.headers.authorization;

  if (!authHeader) {
    return res.status(403).json({ message: 'No token provided' });
  }

  const token = authHeader.split(' ')[1];
  try {
    const decoded = jwt.verify(token, 'SECRET_KEY');
    if (decoded.role !== requiredRole) {
      return res.status(403).json({ message: 'Insufficient permissions' });
    }
    next();
  } catch (err) {
    return res.status(401).json({ message: 'Invalid token' });
  }
};

// 使用授权中间件
app.get('/admin', authorize('admin'), (req, res) => {
  res.send('Welcome, admin');
});