使用NodeJS实现JWT原理

最新推荐文章于 2022-12-24 09:53:43 发布
最新推荐文章于 2022-12-24 09:53:43 发布
阅读量146 收藏
点赞数
文章标签： 数据库 jwt session java cookie

作者：mariozheng

原文地址：https://mp.weixin.qq.com/s/RbDGbFaSk5BD0vTDaLiOWQ

JWT是json web token的简称，本文介绍它的原理，最后后端用nodejs自己实现如何为客户端生成令牌token和校验token

一

为什么需要会话管理

我们用 nodejs 为前端或者其他服务提供 resful 接口时，http 协议他是一个无状态的协议，有时候我们需要根据这个请求的上下获取具体的用户是否有权限，针对用户的上下文进行操作。所以出现了cookies session还有jwt这几种技术的出现， 都是对HTTP协议的一个补充。使得我们可以用HTTP协议+状态管理构建一个的面向用户的WEB应用。

二

Session 和 cookie

session 和 cookies 是有联系的，session 就是服务端在客户端 cookies 种下的session_id, 服务端保存session_id所对应的当前用户所有的状态信息。每次客户端请求服务端都带上cookies中的session_id, 服务端判断是否有具体的用户信息，如果没有就去调整登录。

  • cookies安全性不好，攻击者可以通过获取本地cookies进行欺骗或者利用cookies进行CSRF攻击。

  • cookies在多个域名下，会存在跨域问题

  • session的信息是保存在服务端上面的，当我们node.js在stke部署多台机器的时候，需要解决共享session，所以引出来session持久化问题，所以session不支持分布式架构，无法支持横向扩展，只能通过数据库来保存会话数据实现共享。如果持久层失败会出现认证失败。

三

JWT的定义

jwt是json web token的全称，他解决了session以上的问题，优点是服务器不保存任何会话数据，即服务器变为无状态，使其更容易扩展，什么情况下使用jwt比较合适，我觉得就是授权这个场景，因为jwt使用起来轻便，开销小，后端无状态，所以使用比较广泛。

四

JWT的原理

JWT 的原理是，服务器认证以后，生成一个 JSON 对象，发回给用户，就像下面这样。

{
    "姓名": "张三",
    "角色": "管理员",
    "到期时间": "2018年7月1日0点0分"
}

以后，用户与服务端通信的时候，都要发回这个 JSON 对象。服务器完全只靠这个对象认定用户身份。为了防止用户篡改数据，服务器在生成这个对象的时候，会加上签名。

五

JWT的认证流程

        JWT的流程说明：

  1. 浏览器发起请求登陆，携带用户名和密码；

  2. 服务端根据用户名和明码到数据库验证身份，根据算法，将用户标识符打包生成 token,

  3. 服务器返回JWT信息给浏览器，JWT不应该包含敏感信息，这是很重要的一点

  4. 浏览器发起请求获取用户资料，把刚刚拿到的 token一起发送给服务器，一般放在header里面，字段为authorization

  5. 服务器发现数据中有 token，decode token的信息，然后再次签名，验明正身；

  6. 服务器返回该用户的用户资料；

  7. 服务器可以在payload设置过期时间， 如果过期了，可以让客户端重新发起验证。

六

JWT的数据结构

JWT 包含了使用.风格的三个部分，包含header（头部）、Payload（荷载）以及 Signature（签名）

Header 头部

{"alg": "HS256","typ": "JWT"}// algorithm => HMAC SHA256// type => JWT

这是固定的写法，alg表面要用的是HS256算法

Payload 负载、载荷


JWT 规定了7个官方字段

iss (issuer)：签发人
exp (expiration time)：过期时间
sub (subject)：主题
aud (audience)：受众
nbf (Not Before)：生效时间
iat (Issued At)：签发时间
jti (JWT ID)：编号

除了这七个，可以自定义，比如过期时间

Signature 签名 


对前两部分header和payload进行签名，防止数据篡改

HMACSHA256(
  base64UrlEncode(header) + "." +
  base64UrlEncode(payload),
  secret)

secret是一段字符串，后端保存，需要注意的是 JWT 作为一个令牌 token，有些场合可能会放到 URL（比如 api.example.com/?token=xxx）。Base64 有三个字符+、/和=，在 URL 里面有特殊含义，所以要被替换掉：=被省略、+替换成-，/替换成_ 。这就是 Base64URL 算法。

七

jwt使用方式


HTTP 请求的头信息Authorization字段里面, Bearer也是规定好的

Authorization: Bearer <token>

通过url传输（不推荐）

http://www.xxx.com/pwa?token=xxxxx

如果是post请求也可以放在请求体中

八

在koa项目中使用


可以使用现成库，jwt-simple 或者 jsonwebtoken

let Koa = require('koa');
let Router = require('koa-router');
let bodyparser = require('koa-bodyparser');
let jwt = require('jwt-simple');
let router = new Router()
let app = new Koa();
app.use(bodyparser());
// 可以自己自定义
let secret = 'zhenglei';
// 验证是否登陆
router.post('/login',async(ctx)=>{ 
    let {username,password} = ctx.request.body;
    if(username === 'admin' && password === 'admin'){
       // 通常会查数据库，这里简单的演示
       let token =  jwt.encode(username, secret);
       ctx.body = {
            code:200,
            username,
            token,
       }
    }
});
// 验证是否有权限
router.get('/validate',async(ctx)=>{ 
    let Authorization = ctx.get('authorization')
    let [,token] = Authorization.split(' ');
    if(token){
        try{
            let r = jwt.decode(token,secret);
            ctx.body = {
                code:200,
                username:r,
                token
            }
        }catch(e){
            ctx.body = {
                code:401,
                data:'没有登陆'
            }
        }
    }else{
        ctx.body = {
            code:401,
            data:'没有登陆'
        }
    }
  
});
app.use(router.routes());
app.listen(4000);

  1. 实现两个接口 一个是/login 验证是否登录，一个是 validate,验证是否有权限

  2. 请求login接口的时候，客户端带username和password, 后端一般会查数据库，验证是否存在当前用户，如果存在则为username进行签名，千万不要给password这些敏感信息也带进来签名

  3. 客户端接收后端给的token令牌，再请求其他接口，比如这个例子的/validate的时候，ajax请求的时候，可以在header指定authorization字段，后端拿到token进行decode，然后将header和payload进行再一次的签名，如果前后的签名一致，说明没有被篡改过，则权限验证通过。因为是同步的过程，所以可以用try catch来捕捉错误

九

原理的实现


  1. sha256哈希算法，可以用nodejs的内置加密模块crypto, 生成base64字符串，要注意的是生成base64需要为+ - = 做一下替换，=被省略、+替换成-，/替换成_ 。这就是 Base64URL 算法。

  2. token令牌的组成是header, payload和sigin的通过.来组成

  3. base64urlUnescape 的解码是固定写法，decode出base64的内容

let myJwt = {
    sign(content,secret){
        let r = crypto.createHmac('sha256',secret).update(content).digest('base64');
        return this.base64urlEscape(r)
    },
    base64urlEscape(str){
        return str.replace(/\+/g, '-').replace(/\//g, '_').replace(/=/g, '');
    },
    toBase64(content){
        return this.base64urlEscape(Buffer.from(JSON.stringify(content)).toString('base64'))
    },
    encode(username,secret){
        let header = this.toBase64({ typ: 'JWT', alg: 'HS256' });
        let content = this.toBase64(username);
        let sign = this.sign([header,content].join('.'),secret);
        return  [header,content,sign].join('.')
    },
    base64urlUnescape(str) {
        str += new Array(5 - str.length % 4).join('=');
        return str.replace(/\-/g, '+').replace(/_/g, '/');
    },
    decode(token,secret){
        let [header,content,sign] = token.split('.');
        let newSign = this.sign([header,content].join('.'),secret);
        if(sign === newSign){
            return Buffer.from(this.base64urlUnescape(content),'base64').toString();
        }else{
            throw new Error('被篡改')
        }
    }
}

十

JWT的优缺点


  1. JWT默认不加密，但可以加密。生成原始令牌后，可以使用改令牌再次对其进行加密。

  2. 当JWT未加密方法时，一些私密数据无法通过JWT传输。

  3. JWT不仅可用于认证，还可用于信息交换。善用JWT有助于减少服务器请求数据库的次数。

  4. JWT的最大缺点是服务器不保存会话状态，所以在使用期间不可能取消令牌或更改令牌的权限。也就是说，一旦JWT签发，在有效期内将会一直有效

  5. JWT本身包含认证信息，因此一旦信息泄露，任何人都可以获得令牌的所有权限。为了减少盗用，JWT的有效期不宜设置太长。对于某些重要操作，用户在使用时应该每次都进行进行身份验证。

  6. 为了减少盗用和窃取，JWT不建议使用HTTP协议来传输代码，而是使用加密的HTTPS协议进行传输。

❤️爱心三连击

1.看到这里了就点个在看支持下吧，你的「点赞，在看」是我创作的动力。
2.关注公众号程序员成长指北，回复「1」加入高级前端交流群！「在这里有好多 前端 开发者，会讨论 前端 Node 知识，互相学习」！
3.也可添加微信【ikoala520】，一起成长。


“在看转发”是最大的支持
傲娇的koala
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
js怎么实现hmacsha256_各种语言HMAC SHA256实现
weixin_39603622的博客
12-19 4821
语言包含：Javascript ，PHP，Java，Groovy，C#，Objective C，Go，Ruby，Python，Perl，Dart，Swift，Rust，Powershell。Javascript HMAC SHA256Run the code online withthis jsfiddle. Dependent upon an open source js library cal...
hmac-sha256的纯js写法，无需引入外部模块，引入就可以直接用（微信小程序先享后付，HMAC-SHA256加密算法）
最新发布
weixin_44029605的博客
10-23 1610
hmac-sha256的纯js写法，无需引入外部模块，引入就可以直接用（微信小程序先享后付，HMAC-SHA256加密算法）
jwt-decode, 解码JWT令牌；适用于浏览器应用程序.zip
10-10
jwt-decode, 解码JWT令牌；适用于浏览器应用程序 jwt解码是一个小型浏览器库，可以帮助解码Base64Url编码的JWTs标记。注意：这个库没有验证令牌，任何格式良好的JWT都可以解码。 应该使用 express JWT 。koa JWT 。 Owin承载JWT插件等方式验证服务器端
使用 JavaScript 实现 SHA256 以及 HMAC-SHA256
yuanyuan95的专栏
11-11 9018
纯 js 实现的 sha256、hmac-sha256 加密算法
腾讯IMWeb团队是如何使用 NodeJS 实现 JWT 原理
我本可以容忍阳光，如果我不曾见过太阳，然而阳光已使我荒凉，成为更新的荒凉。
11-20 345
关注前端瓶子君，回复“交流”加入我们一起学习，天天进步来源：腾讯IMWeb团队https://juejin.cn/post/6873700061000237069jwt是json w...
Node.JS如何实现JWT原理
10-14
4. **JWT原理** JWT由三部分组成：Header、Payload和Signature。Header包含了算法和JWT类型，Payload包含声明（如用户ID、过期时间等），Signature是通过Header和Payload的Base64URL编码值以及一个秘密（secret）...
nodejs-jwt-implementation:Node.js中的JSON Web令牌实现
03-07
JSON Web Token（JWT）是一种广泛使用的身份验证和授权机制，特别是在Web...通过理解JWT的工作原理和使用方法，开发者可以构建出高效、安全的Web服务。记得在实际项目中根据需求调整策略，确保最佳的用户体验和安全性。
NodeJS-JWT-Authentication-Test:ITIS 4166
03-17
总之，在"NodeJS-JWT-Authentication-Test"项目中，我们将深入理解JWT的使用，学习如何在Node.js环境中实现安全的身份验证机制，并通过测试确保系统的健壮性。这个项目不仅涵盖了身份验证的核心概念，还涉及了后端...
jwt_auth：使用nodejs和express开发的Rest API
02-16
在本文中，我们将深入探讨如何使用Node.js和Express框架开发基于JSON Web Tokens（JWT）的身份验证（Auth）Restful API...通过学习这个项目，开发者可以了解到JWT的工作原理，以及如何在实际应用中实现安全的身份验证。
anguar-jwt:使用 AngularJS 和 NodeJS 进行基于令牌的身份验证
06-12
本文将深入探讨如何使用AngularJS（一个强大的前端JavaScript框架）和NodeJS（一个基于Chrome V8引擎的JavaScript运行环境）来实现基于令牌（JWT，Json Web Token）的身份验证。 首先，AngularJS 提供了一个强大的...
Hmac SHA256 加密在原生 Java 及 Node.js 的实现
PeacefulWinter的博客
12-19 5855
利用原生 Java 及 Node.js 内置模块，分别实现了 Hmac SHA256 加密（附详细源码），并在文末进行了 SHA1 加密的拓展。
接口数据加密之MD5加密
weixin_43607099的博客
09-26 1462
接口数据加密之MD5加密MD5 加密Java层加密功能快捷键合理的创建标题，有助于目录的生成如何改变文本的样式插入链接与图片如何插入一段漂亮的代码片生成一个适合你的列表创建一个表格设定内容居中、居左、居右SmartyPants创建一个自定义列表如何创建一个注脚注释也是必不可少的KaTeX数学公式新的甘特图功能，丰富你的文章UML 图表FLowchart流程图导出与导入导出导入 MD5 加密 定义： 一种被广泛使用的密码散列函数，可以产生出一个128位（16字节）的散列值（hash value），MD5 加密
Typescript/Nodejs 使用HmacSHA256 & Base64对接口调用签名
HumorChen的博客
06-04 2651
【代码】Typescript/Nodejs 使用HmacSHA256 & Base64对接口调用签名。
js如何获取jwt信息_前后端分离：基于JWT用户认证分析
weixin_39607798的博客
11-21 878
点击上方“Java知音”，选择“置顶公众号”技术文章第一时间送达！作者：lion1ouhttps://lion1ou.win/2017/01/18/在前后端分离开发时为什么需要用户认证呢？原因是由于HTTP协定是不储存状态的(stateless)，这意味着当我们透过帐号密码验证一个使用者时，当下一个request请求时它就把刚刚的资料忘了。于是我们的程序就不知道谁是谁，就要再验证一次。所...
js怎么实现hmacsha256_HMAC-SHA256 签名方法各个语音的实现方式之前端JavaScriptes6
weixin_39962153的博客
12-19 1303
sha256和16进制输出，网上很多种后端的验证方法，几乎没有前端的，所以自己写了个，希望给类似需求的人一个帮助，适用场景腾讯云接口鉴权 v3签名npm install sha256npminstallcrypto-jsimport HmacSHA256 from 'crypto-js/hmac-sha256'import Hex from 'crypto-js/enc-Hex';export...
搞懂 JWT 这个知识点
程序员成长指北
09-22 650
什么是 JWT概念JSON Web Token（简称 JWT）是目前最流行的跨域认证解决方案。JWT 原理JWT 组成JWT 由三部分组成:Header，Payload，Signatur...
jwt判断token是否过期_一文讲解JWT用户认证全流程
weixin_39600319的博客
11-12 4589
一、什么是JWT（what）JWT(JSON Web Token)是一个开放标准(RFC 7519)，它定义了一种紧凑且自包含的方式，以JSON对象的形式在各方之间安全地传输信息。JWT是一个数字签名，生成的信息是可以验证并被信任的。使用密钥(使用HMAC算法)或使用RSA或ECDSA的公钥/私钥对JWT进行签名。JWT是目前最流行的跨域认证解决方案1.1 JWT令牌结构SON Web令牌以紧凑的...
哈希消息认证码HmacSHA256-javascript版
程小博衍的博客
12-24 2762
哈希消息认证码HmacSHA256-javascript版
vue JS HMACSHA256加密 （crypto-js前端使用）
qq_17627195的博客
07-11 8968
第一步： 安装 crypto-js npm install crypto-js 第二步：引用 import CryptoJS from 'crypto-js/crypto-js' 第三步 // str 是按照网站或者自己的规则拼接的字符串，像币安里面就是将传递的参数拼接成字符串 // key 是网站设置的秘钥，像币安就是secretKey // 此方法为HMAC-SHA256的签名方式 let test = CryptoJS.HmacSHA256(str, key); // 使用16进制的方法加密，输出
nodejs 实现 jwt验证
06-08
接下来，可以使用如下代码实现JWT的验证： ```javascript const jwt = require('jsonwebtoken'); // 定义一个密钥，用于加密和解密JWT const secret = 'my_secret_key'; // 创建一个JWT const token = jwt.sign({...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值