JWT整合笔记:认证原理、流程整合springboot实战应用,前后端分离认证

1.什么是JWT?

JsonWebToken 是一个开放标准,它定义了一种紧凑,自包含的方式,用于各方面之间以json格式传送信息,此信息可以验证和信任,因为他是数字签名。jwt可以秘密(使用HMAC算法)或ECDSA的公钥/私钥进行签名。

通过JSON格式作为web中的令牌,用于在各方之间安全地将信息作为json对象传输,在数据传输过程中完成数据加密,签名等相关处理。

2.JWT能做什么?

  java web安全验证 授权,一旦用户登录,每个后续请求包含JWT,从而允许用户问该令牌允许的路由,服务和资源。单点登录是当今广泛使用的json web token的一项功能,因为他开销很小,并且可以在不同系统轻松使用。

  信息交换

json web token实在各方面之间安全地传送信息的好方法,因为可以对jwt进行签名。所以可以确保发件人是他们所说的人,此外,由于签名是使用标头和有效负载计算,因此可以验证内容是否遭到篡改。

3.为什么是jwt

基于传统session认证

1.认证方式

我们知道,http协议本身是一种无状态的协议,而这就意味着如果用户向我们的应用进行用户认证。那么下一次请求时,用户还要再一次进行用户登陆才行,因为根据http协议我们并不知道是哪个用户发出的请求,所以为了让我们的应用能够识别是那个用户发出的请求,我们在服务器存储一份用户登陆的信息,这份登录信息会在响应时传递给浏览器,告诉其保存为cookie,以便下次请求时给我们的应用。这样我们的应用就能识别来自那个用户。

传统session认证代码举例:

存在问题:

每个用户经过认证之后,我们的应用都要在服务器端做一次记录,以便下次请求时使用,通常session都是保存在内存中,随着认证用户的增多,服务端开销大。

服务端认证记录保存在内存,下次还要访问这台服务器,才能拿到授权资源,这样在分布式的应用上,相应的限制了负载均衡的能力,这意味着限制了应用的扩展能力。

基于cookie进行用户识别,cookie如果被截获,用户很容易受到跨站请求伪造攻击。

前后端分离更加痛苦,如下图:

一次请求转发多次,经过代理,用户过多存储在服务器内存中,给内存增加负担。跨站请求伪造攻击,session是基于cookie进行用户识别的,cookie如果被截获,用户就会很容易受到跨站伪造的攻击。还有就是session是一个特征值,表达信息不够丰富,不容易扩展。而且如果你后端是多节点部署,那么就实现session共享机制,不方便集群应用。

基于JWT认证

认证流程

 

4.jwt的结构是什么?

token  string  ====  Header.payload.signature    TOKEN {}.{}.{}

#1.令牌组成

1.标头(Header)

2.有效数据(payload)

3.签名(signature )

#2.Header

标头通常由两部分组成:令牌的类型(即JWT)和所有的签名算法,例如HMAC,SHA256或RSA,他会使用Base64编码(解码)组成JWT结构的一部分。

Base64是一种编码,也就是说,它可以翻译回来原来的样子的,他并不是一种加密过程。

{

“alg”:“HS256”,

“typ”:“jwt”

}

Base64编码=》xxxxx  =》解码json格式

#3Payload

有效负载,自身包含声明,声明是有关键实体(通常是用户)和其他数据的声明。同样的,他会使用Base64编码组成JWT结构的第二部分。

{

“sub”:“12345678”,

name:“John Doe”,

“admin”: true

}

Base64编码=》yyyyy=》解码json格式

#4Signature

signature需要使用编码后的jeader和payload以及我们自定义提供的一个密钥,延后使用header中指定的签名算法(HS256)进行签名。签名的作用是

保郑JWT没有被篡改过。

信息安全问题

JWT中header和playload不能加入敏感数据。jwt适合传送一些敏感信息。

5.使用jwt

验证令牌

 

JWT 封装

 

JWT整合SpringBoot步骤

1.引入jwt mybatis,lombok ,druid, mysql

2改写配置文件

3建数据库 user

4.建实体

验证token

SpringBoot开发拦截器

JWTInterceptor 

前端发送请求, 请求头里。 request.getHeader(s:"token"); 

InterceptorConfig

生成token

验证token

 

  • 1
    点赞
  • 0
    收藏
    觉得还不错? 一键收藏
  • 2
    评论
JWT(JSON Web Token)是一种基于 JSON 的安全令牌,它可以在客户端和服务器之间安全传输信息。在前后端分离的项目中,使用 JWT 进行用户认证可以方便地处理用户登录和权限控制。 以下是使用 Spring Boot 和 JWT 实现前后端分离的用户认证示例: 1. 添加依赖 在 pom.xml 中添加以下依赖: ```xml <!-- JWT --> <dependency> <groupId>io.jsonwebtoken</groupId> <artifactId>jjwt</artifactId> <version>0.9.1</version> </dependency> ``` 2. 创建 JWT 工具类 创建一个 JWT 工具类,用于生成和验证 JWT。以下是一个简单的实现: ```java import io.jsonwebtoken.Claims; import io.jsonwebtoken.Jwts; import io.jsonwebtoken.SignatureAlgorithm; import org.springframework.beans.factory.annotation.Value; import org.springframework.stereotype.Component; import java.util.Date; import java.util.HashMap; import java.util.Map; @Component public class JwtUtils { @Value("${jwt.secret}") private String secret; @Value("${jwt.expiration}") private Long expiration; public String generateToken(String username) { Map<String, Object> claims = new HashMap<>(); claims.put("sub", username); claims.put("iat", new Date()); return Jwts.builder() .setClaims(claims) .setExpiration(new Date(System.currentTimeMillis() + expiration)) .signWith(SignatureAlgorithm.HS512, secret) .compact(); } public String getUsernameFromToken(String token) { try { Claims claims = Jwts.parser() .setSigningKey(secret) .parseClaimsJws(token) .getBody(); return claims.getSubject(); } catch (Exception e) { return null; } } public boolean validateToken(String token, String username) { String tokenUsername = getUsernameFromToken(token); return tokenUsername != null && tokenUsername.equals(username); } } ``` 3. 创建登录接口 创建一个登录接口,用于验证用户的用户名和密码,并返回 JWT: ```java @PostMapping("/login") public ResponseEntity<?> login(@RequestBody LoginRequest loginRequest) { Authentication authentication = authenticationManager.authenticate( new UsernamePasswordAuthenticationToken(loginRequest.getUsername(), loginRequest.getPassword())); SecurityContextHolder.getContext().setAuthentication(authentication); String jwt = jwtUtils.generateToken(authentication.getName()); return ResponseEntity.ok(new JwtResponse(jwt)); } ``` 4. 创建受保护的接口 创建一个受保护的接口,需要用户在请求头中传递 JWT。在该接口中,首先验证 JWT 是否有效,然后根据用户角色返回相应的数据: ```java @GetMapping("/data") @PreAuthorize("hasAnyRole('USER', 'ADMIN')") public ResponseEntity<?> getData() { String username = SecurityContextHolder.getContext().getAuthentication().getName(); if (jwtUtils.validateToken(jwt, username)) { // 返回数据 } else { throw new BadCredentialsException("Invalid JWT"); } } ``` 5. 配置 JWT 相关属性 在 application.properties 中配置 JWT 相关属性: ``` jwt.secret=mySecret jwt.expiration=86400000 # 1 day in milliseconds ``` 以上就是使用 Spring Boot 和 JWT 实现前后端分离的用户认证的示例。需要注意的是,JWT 本身并没有提供加密功能,因此需要使用一个密钥来保证 JWT 的安全性。在示例中,密钥存储在配置文件中,实际生产环境中应该使用更加安全的方式来存储密钥。
评论 2
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值