1.什么是JWT?
JsonWebToken 是一个开放标准,它定义了一种紧凑,自包含的方式,用于各方面之间以json格式传送信息,此信息可以验证和信任,因为他是数字签名。jwt可以秘密(使用HMAC算法)或ECDSA的公钥/私钥进行签名。
通过JSON格式作为web中的令牌,用于在各方之间安全地将信息作为json对象传输,在数据传输过程中完成数据加密,签名等相关处理。
2.JWT能做什么?
java web安全验证 授权,一旦用户登录,每个后续请求包含JWT,从而允许用户问该令牌允许的路由,服务和资源。单点登录是当今广泛使用的json web token的一项功能,因为他开销很小,并且可以在不同系统轻松使用。
信息交换
json web token实在各方面之间安全地传送信息的好方法,因为可以对jwt进行签名。所以可以确保发件人是他们所说的人,此外,由于签名是使用标头和有效负载计算,因此可以验证内容是否遭到篡改。
3.为什么是jwt
基于传统session认证
1.认证方式
我们知道,http协议本身是一种无状态的协议,而这就意味着如果用户向我们的应用进行用户认证。那么下一次请求时,用户还要再一次进行用户登陆才行,因为根据http协议我们并不知道是哪个用户发出的请求,所以为了让我们的应用能够识别是那个用户发出的请求,我们在服务器存储一份用户登陆的信息,这份登录信息会在响应时传递给浏览器,告诉其保存为cookie,以便下次请求时给我们的应用。这样我们的应用就能识别来自那个用户。
传统session认证代码举例:
存在问题:
每个用户经过认证之后,我们的应用都要在服务器端做一次记录,以便下次请求时使用,通常session都是保存在内存中,随着认证用户的增多,服务端开销大。
服务端认证记录保存在内存,下次还要访问这台服务器,才能拿到授权资源,这样在分布式的应用上,相应的限制了负载均衡的能力,这意味着限制了应用的扩展能力。
基于cookie进行用户识别,cookie如果被截获,用户很容易受到跨站请求伪造攻击。
前后端分离更加痛苦,如下图:
一次请求转发多次,经过代理,用户过多存储在服务器内存中,给内存增加负担。跨站请求伪造攻击,session是基于cookie进行用户识别的,cookie如果被截获,用户就会很容易受到跨站伪造的攻击。还有就是session是一个特征值,表达信息不够丰富,不容易扩展。而且如果你后端是多节点部署,那么就实现session共享机制,不方便集群应用。
基于JWT认证
认证流程
4.jwt的结构是什么?
token string ==== Header.payload.signature TOKEN {}.{}.{}
#1.令牌组成
1.标头(Header)
2.有效数据(payload)
3.签名(signature )
#2.Header
标头通常由两部分组成:令牌的类型(即JWT)和所有的签名算法,例如HMAC,SHA256或RSA,他会使用Base64编码(解码)组成JWT结构的一部分。
Base64是一种编码,也就是说,它可以翻译回来原来的样子的,他并不是一种加密过程。
{
“alg”:“HS256”,
“typ”:“jwt”
}
Base64编码=》xxxxx =》解码json格式
#3Payload
有效负载,自身包含声明,声明是有关键实体(通常是用户)和其他数据的声明。同样的,他会使用Base64编码组成JWT结构的第二部分。
{
“sub”:“12345678”,
name:“John Doe”,
“admin”: true
}
Base64编码=》yyyyy=》解码json格式
#4Signature
signature需要使用编码后的jeader和payload以及我们自定义提供的一个密钥,延后使用header中指定的签名算法(HS256)进行签名。签名的作用是
保郑JWT没有被篡改过。
信息安全问题
JWT中header和playload不能加入敏感数据。jwt适合传送一些敏感信息。
5.使用jwt
验证令牌
JWT 封装
JWT整合SpringBoot步骤
1.引入jwt mybatis,lombok ,druid, mysql
2改写配置文件
3建数据库 user
4.建实体
验证token
SpringBoot开发拦截器
JWTInterceptor
前端发送请求, 请求头里。 request.getHeader(s:"token");
InterceptorConfig
生成token
验证token