项目学习第六天JWT微服务鉴权

项目学习第六天 JWT微服务鉴权

什么是JWT

JSON Web Token（JWT）是一个非常轻巧的规范。这个规范允许我们使用JWT在用 户和服务器之间传递安全可靠的信息。
一个JWT实际上就是一个字符串，它由三部分组成，头部、载荷与签名。

JWT工具类编写

common工程引入依赖

<dependency>
   <groupId>io.jsonwebtoken</groupId>    
   <artifactId>jjwt</artifactId> 
   <version>0.6.0</version>
</dependency>

common工程，创建util.JwtUtil

package util;

import io.jsonwebtoken.Claims;
import io.jsonwebtoken.JwtBuilder;
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;
import org.springframework.boot.context.properties.ConfigurationProperties;
import org.springframework.stereotype.Component;

import java.util.Date;

/**
 * Created by Administrator on 2018/4/11.
 */
@Component
@ConfigurationProperties("jwt.config")
public class JwtUtil {

    private String key ;

    private long ttl ;//一个小时

    public String getKey() {
        return key;
    }

    public void setKey(String key) {
        this.key = key;
    }

    public long getTtl() {
        return ttl;
    }

    public void setTtl(long ttl) {
        this.ttl = ttl;
    }

    /**
     * 生成JWT
     *
     * @param id
     * @param subject
     * @return
     */
    public String createJWT(String id, String subject, String roles) {
        long nowMillis = System.currentTimeMillis();
        Date now = new Date(nowMillis);
        JwtBuilder builder = Jwts.builder().setId(id)
                .setSubject(subject)
                .setIssuedAt(now)
                .signWith(SignatureAlgorithm.HS256, key).claim("roles", roles);
        if (ttl > 0) {
            builder.setExpiration( new Date( nowMillis + ttl));
        }
        return builder.compact();
    }

    /**
     * 解析JWT
     * @param jwtStr
     * @return
     */
    public Claims parseJWT(String jwtStr){
        return  Jwts.parser()
                .setSigningKey(key)
                .parseClaimsJws(jwtStr)
                .getBody();
    }

}

添加配置到要引用JwtUtil工具类工程的application.yml

jwt: 
 config:
   key: shenhaiyu
   ttl: 360000

配置bean 修改对应工程Application类

 @Bean
 public JwtUtil jwtUtil(){ 
    return new util.JwtUtil(); 
 }

修改AdminController的login方法

@Autowired
	private JwtUtil jwtUtil;

	@RequestMapping(value="/login",method = RequestMethod.POST)
	public Result login(@RequestBody Admin admin){
		Admin adminLogin= adminService.login(admin);
		if(adminLogin==null){
			return new Result(false,StatusCode.ERROR,"登录失败");
		}
		//采取使前后端可以通话，利用JWT
		String token=jwtUtil.createJWT(adminLogin.getId(),adminLogin.getLoginname(),"admin");
		Map<String,Object> map=new HashMap<>();
		map.put("token",token);
		map.put("role","admin");
		return new Result(true,StatusCode.OK,"登陆成功",map);
	}

测试运行结果

{ "flag": true, 
"code": 20000,
 "message": "登陆成功",
  "data": { "token": 
 "eyJhbGciOiJIUzI1NiJ9.eyJqdGkiOiI5ODQzMjc1MDc4ODI5MzgzNjgiLCJzdWIiOiJ4aWF
vbWkiLCJpYXQiOjE1MjM1MjQxNTksInJvbGVzIjoiYWRtaW4iLCJleHAiOjE1MjM1MjQ1MTl9
._YF3oftRNTbq9WCD8Jg1tqcez3cSWoQiDIxMuPmp73o", "name":"admin" } 
 }

JWT常见面试题

JWT 安全吗?

Base64编码方式是可逆的，也就是透过编码后发放的Token内容是可以被解析的。一般而言，我们都不建议在有效载荷内放敏感讯息，比如使用者的密码。

Token失效问题？

1、无状态JWT令牌（Stateless JWT Token）发放出去之后，不能通过服务器端让令牌失效，必须等到过期时间过才会失去效用。2、假设在这之间Token被拦截，或者有权限管理身份的差异造成授权Scope修改，都不能阻止发出去的Token失效并要求使用者重新请求新的Token。

如何完成权限校验的？

有权限管理的服务，管理用户的各种权限，及可访问路径等，在网关zuul中利用Pre过滤器，拦截一切请求，在过滤器中，解析jwt，获取用户身份，查询用户权限，判断用户身份可以访问当前路径。

服务端微服务地址不小心暴露了，用户就可以绕过网关，直接访问微服务，怎么办？

答：
我们的微服务在网关的后面，而且整个服务被Nginx反向代理微服务暴露的可能性低。我们的微服务都做了严格的服务间鉴权处理，任何对微服务的访问都会被验证是否有授权，如果没有则会被拦截。