基于token的鉴权机制-JWT

在实际开发项目中，由于Http是一种无状态的协议，我们想要记录用户的登录状态，或者为用户创建身份认证的凭证，可以使用Session认证机制或者JWT认证机制。

什么是JWT?

网络应用环境间传递声明执行的一种基于JSON的开放标准。适用于分布式站点的单点登录（SSO）场景。

JWT与Session的区别

Session

• 传统Session认证
  • 识别已认证的用户（用户名/密码），响应信息传递给浏览器保存为Cookie，以便于下次请求发送应用，就能识别请求来自哪个用户。这就是传统的基于Session的认证。
  • 基于session认证显露的问题
    • 占用资源（session保存在用户中）
    • 扩展性弱（下次请求必须在这台服务器上，才能拿到授权的资源，在分布式的应用上，相应的限制了负载均衡的能力）
    • CSRF攻击：基于cookie来进行用户识别的，cookie如果被截获，可以伪造攻击
• Json Web Token(JWT)
  • 基于token的鉴权机制：不需要再服务端保留用户的认证信息或者会话信息。意味着基于token认证机制的应用不需要去考虑用户在哪一台服务器登录了。
    • 用户使用用户名密码来请求服务器
    • 服务器进行验证用户的信息
    • 服务器通过验证发送给用户一个token
    • 客户端存储token，并在每次请求时附送上这个token值
    • 服务端验证token值，并返回数据

JWT长什么样？

JWT由三段信息构成

• 头部（header）
• 载荷（payload）
• 签证（signature）

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ

header

header头部包含两部分

• 声明类型
• 声明加密算法

然后对头部进行base64加密

# 完整的头部示例
{
  'typ': 'JWT',
  'alg': 'HS256'
}
 
# 加密后的头部
eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9

payload

载荷就是存放有效信息的地方。特指分级上承载的货品。

payload主要包含三部分：

• 标准中的注册的声明
  • iss:jwt签发者
  • sub:jwt所面向的用户
  • aud:接收jwt的一方
  • exp:jwt的过期时间，这个过期时间必须要大于签发时间
• 公共的声明
  • 可以添加任何的信息，一般添加用户的相关信息，不建议添加，可解密
• 私有的声明
  • 提供者和消费者所共同定义的声明

# 一个完整的payload
{
  "sub": "1234567890",
  "name": "John Doe",
  "admin": true
}
 
# base64加密后
eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9

signature

签证信息由三部分组成

• header（base64加密后）
• payload（base64加密后）
• secret

这个部分需要base64加密后的header和base64加密后的payload使用.连接组成的字符串，然后通过header中声明的加密方式进行加盐secret组合加密，然后就构成了jwt的第三部分。

// javascript
var encodedString = base64UrlEncode(header) + '.' + base64UrlEncode(payload);

var signature = HMACSHA256(encodedString, 'secret'); // TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ

将这三部分用.连接成一个完整的字符串,构成了最终的jwt:

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ

注意：secret是保存在服务器端的，jwt的签发生成也是在服务器端的，secret就是用来进行jwt的签发和jwt的验证，所以，它就是你服务端的私钥，在任何场景都不应该流露出去。一旦客户端得知这个secret, 那就意味着客户端是可以自我签发jwt了。

如何应用？

一般是在请求头里加入Authorization，并加上Bearer标注：

fetch('api/user/1', {
  headers: {
    'Authorization': 'Bearer ' + token
  }
})

服务端会验证token，如果验证通过就会返回相应的资源：

JWT鉴权的优点

• 因为JSON的通用性，所以JWT是可以进行跨语言支持的，像java、js、NodeJS、php等
• jwt构成简单，字节占用很小，便于传输
• 不需要服务端保存会话信息，易于应用扩展

安全相关

• 不应该在jwt的payload部分存放敏感信息
• 保护好secret私钥，该私钥非常重要