JWT整合笔记：认证原理、流程整合springboot实战应用,前后端分离认证

1.什么是JWT？

JsonWebToken 是一个开放标准，它定义了一种紧凑，自包含的方式，用于各方面之间以json格式传送信息，此信息可以验证和信任，因为他是数字签名。jwt可以秘密（使用HMAC算法）或ECDSA的公钥/私钥进行签名。

通过JSON格式作为web中的令牌，用于在各方之间安全地将信息作为json对象传输，在数据传输过程中完成数据加密，签名等相关处理。

2.JWT能做什么？

  java web安全验证 授权，一旦用户登录，每个后续请求包含JWT，从而允许用户问该令牌允许的路由，服务和资源。单点登录是当今广泛使用的json web token的一项功能，因为他开销很小，并且可以在不同系统轻松使用。

  信息交换

json web token实在各方面之间安全地传送信息的好方法，因为可以对jwt进行签名。所以可以确保发件人是他们所说的人，此外，由于签名是使用标头和有效负载计算，因此可以验证内容是否遭到篡改。

3.为什么是jwt

基于传统session认证

1.认证方式

我们知道，http协议本身是一种无状态的协议，而这就意味着如果用户向我们的应用进行用户认证。那么下一次请求时，用户还要再一次进行用户登陆才行，因为根据http协议我们并不知道是哪个用户发出的请求，所以为了让我们的应用能够识别是那个用户发出的请求，我们在服务器存储一份用户登陆的信息，这份登录信息会在响应时传递给浏览器，告诉其保存为cookie，以便下次请求时给我们的应用。这样我们的应用就能识别来自那个用户。

传统session认证代码举例：

存在问题：

每个用户经过认证之后，我们的应用都要在服务器端做一次记录，以便下次请求时使用，通常session都是保存在内存中，随着认证用户的增多，服务端开销大。

服务端认证记录保存在内存，下次还要访问这台服务器，才能拿到授权资源，这样在分布式的应用上，相应的限制了负载均衡的能力，这意味着限制了应用的扩展能力。

基于cookie进行用户识别，cookie如果被截获，用户很容易受到跨站请求伪造攻击。

前后端分离更加痛苦，如下图：

一次请求转发多次，经过代理，用户过多存储在服务器内存中，给内存增加负担。跨站请求伪造攻击，session是基于cookie进行用户识别的，cookie如果被截获，用户就会很容易受到跨站伪造的攻击。还有就是session是一个特征值，表达信息不够丰富，不容易扩展。而且如果你后端是多节点部署，那么就实现session共享机制，不方便集群应用。

基于JWT认证

认证流程

 

4.jwt的结构是什么？

token  string  ====  Header.payload.signature    TOKEN {}.{}.{}

#1.令牌组成

1.标头(Header)

2.有效数据（payload）

3.签名（signature ）

#2.Header

标头通常由两部分组成：令牌的类型（即JWT）和所有的签名算法，例如HMAC，SHA256或RSA,他会使用Base64编码（解码）组成JWT结构的一部分。

Base64是一种编码，也就是说，它可以翻译回来原来的样子的，他并不是一种加密过程。

{

“alg”：“HS256”，

“typ”：“jwt”

}

Base64编码=》xxxxx  =》解码json格式

#3Payload

有效负载，自身包含声明，声明是有关键实体（通常是用户）和其他数据的声明。同样的，他会使用Base64编码组成JWT结构的第二部分。

{

“sub”：“12345678”，

name：“John Doe”，

“admin”： true

}

Base64编码=》yyyyy=》解码json格式

#4Signature

signature需要使用编码后的jeader和payload以及我们自定义提供的一个密钥，延后使用header中指定的签名算法（HS256）进行签名。签名的作用是

保郑JWT没有被篡改过。

信息安全问题

JWT中header和playload不能加入敏感数据。jwt适合传送一些敏感信息。

5.使用jwt

验证令牌

 

JWT 封装

 

JWT整合SpringBoot步骤

1.引入jwt mybatis，lombok ，druid， mysql

2改写配置文件

3建数据库 user

4.建实体

验证token

SpringBoot开发拦截器

JWTInterceptor 

前端发送请求， 请求头里。 request.getHeader(s:"token"); 

InterceptorConfig

生成token

验证token