【业务总结】认证方案——JWT

最新推荐文章于 2023-10-31 10:50:55 发布
最新推荐文章于 2023-10-31 10:50:55 发布
阅读量340 收藏
点赞数
分类专栏： jwt 原理 后端 文章标签： jwt
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/xyx_x/article/details/90486822
版权
后端 同时被 3 个专栏收录
4 篇文章 0 订阅
订阅专栏
原理
2 篇文章 0 订阅
订阅专栏
jwt
1 篇文章 0 订阅
订阅专栏

JSON WEB Token——在两个组织之间传递安全可靠的消息。
JWT的两种实现：
JWT,JWS,JWE
JSON Web Signature(JWS)——一个有着简单统一表达方式的字符串。(签名)
jws表达方式

  1. base64enc{“alg”:指定签名加密算法，
    “typ”:“JWT”}——>base64加密后得到的字符串Header

  2. base64enc {“iss”: 该JWT的签发者，
    “sub”: 该JWT所面向的用户
    “aud”:该JWT的接收方
    “exp”:过期时间，是一个Unix时间戳（expires）
    “iat”：什么时候签发
    …
    }——base64加密后的字符串PayLoad

  3. header.payload.secret——进行header中申明的加密方式。——signature。

  4. jwt = Header.payload.signature
    签名：jwt = Header.payload.signature
    验签：1. jwt2 = Header.payload.signature是否等于jwt. 2. 再检验exp是否过期。

JSON Web Encryption(JWE)——相对于jws，jwe能同时保证安全性与完整性。（加密）
在这里插入图片描述
生成步骤：

  1. JOSE含义与JWS头部相同。
  2. 生成一个随机的Content Encryption Key （CEK）。
  3. 使用RSAES-OAEP 加密算法，用公钥加密CEK，生成JWE Encrypted Key。
  4. 生成JWE初始化向量。
  5. 使用AES GCM加密算法对明文部分进行加密生成密文Ciphertext,算法会随之生成一个128位的认证标记Authentication Tag。 6.对五个部分分别进行base64编码。
    JWE的计算过程相对繁琐，不够轻量级，因此适合与数据传输而非token认证，但该协议也足够安全可靠，用简短字符串描述了传输内容，兼顾数据的安全性与完整性。

对比：

jws:使用时对照签名是否一致。对内容进行base64转码——反转码便可获取内容。
载荷部分一定不能包含敏感数据。
jwe:使用时需要解密不知道密钥根本就解不出来——它就是一个密文。payload数据采用加密方式进行加密。收到方不是进行验签而是解密。

以上内容参考来源：https://www.jianshu.com/p/50ade6f2e4fd

JWT的Python库

  • itsdangerous

JSONWebSignatureSerializer（JWS）
TimedJSONWebSignatureSerializer （可设置有效期）

  • pyjwt——允许完全定制payload内容和头
    使用
 >>> import jwt

 >>> encoded_jwt = jwt.encode({'some': 'payload'}, 'secret', algorithm='HS256')
  >>> encoded_jwt
  'eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzb21lIjoicGF5bG9hZCJ9.4twFt5NiznN84AWoo1d7KO1T_yoc0Z6XOpOVswacPZg'

 >>> jwt.decode(encoded_jwt, 'secret', algorithms=['HS256'])
  {'some': 'payload'}

编码：jwt.encode(载荷,‘secret’,algorithm=‘HS256’)
解码：jwt.decode(编码字符串，‘密钥’，algorithms=[‘加密方式’])
{}
项目中的封装：

import jwt
from flask import current_app


payload = {...}
# 封装一个生成JWT的函数
def generate_iwt(payload,expiry,secret=None)
"""
    生成jwt
    :param payload: dict 载荷
    :param expiry: datetime 有效期
    :param secret: 密钥
    :return: jwt
    """
    _payload = {'exp': expiry}
    _payload.update(payload)

	if not secret:
		secrete = current_app.config['JWT_SECRET']
	
	token = jwt.encode(_payload,secret.algorithm='HS256')
	return token.decode()


# 校验jwt
def verify_jwt(token, secret=None):
    """
    检验jwt
    :param token: jwt
    :param secret: 密钥
    :return: dict: payload
    """
    if not secret:
        secret = current_app.config['JWT_SECRET']
	
	# 验签时exp可能过期，程序执行到次直接抛出异常
    try:
        payload = jwt.decode(token, secret, algorithm=['HS256'])
    except jwt.PyJWTError:
        payload = None

    return payload

JWT刷新机制：

在这里插入图片描述
token若不设置有效期，则服务器会一直处理请求，问题就是token会长期暴露再网络中——不安全。
一般token有效期设置在几个小时左右（2）——采用jwt刷新机制，使token过期后用户无感知获取新的token。
如果客户端携带了token，服务器还返回401，那就客户端就知道时token过期了。
接下来客户端发送refresh_token：请求刷新接口。
服务端验证refresh_token生成token返回新token。
refresh_token ，可以做成很长时间。

实现

  • 手机号+验证码（或帐号+密码）验证后颁发接口调用token与refresh_token（刷新token）

  • Token 有效期为2小时，在调用接口时携带，每2小时刷新一次

  • 提供refresh_token，refresh_token 有效期14天

  • 在接口调用token过期后凭借refresh_token 获取新token

  • 未携带token 、错误的token或接口调用token过期，返回401状态码

  • refresh_token 过期返回403状态码，前端在使用refresh_token请求新token时遇到403状态码则进入用户登录界面从新认证。

  • token的携带方式是在请求头中使用如下格式：

    Authorization: Bearer （此处有个空格）eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzb21lIjoicGF5bG9hZCJ9.4twFt5NiznN84AWoo1d7KO1T_yoc0Z6XOpOVswacPZg

登陆：
接口设计：
POST：/authentications
请求参数：JSON{“mobile” : “” ,“code” : “” }
响应：
短信验证码错误：400
正常：200

{
	“message” : "OK",
	"data" :
			 {
			 token" : "",
			"refresh_token" : ""
				}
}

登陆和注册——一个接口完成。

1. 注册或登陆获取token

class AuthorizationResource(Resource)：
	"""
	认证
	"""
	def _generate_tokens(self,user_id,with_refresh_token=True):
	"""
	 生成token 和refresh_token
     :param user_id: 用户id
     :return: token, refresh_token
	"""
		# 生成调用token
        # 生成刷新token
        # utcnow东八区当前时间，timedelta()设置时间差,hours=中的值放在配置信息里，加载到flask_app
        secret = current_app.config['JWT_SECRET']  # 免得执行两次
        exipry = datetime.utcnow() + timedelta(hours=current_app.config['JWT_exipry_HOURS'])
        token = generate_jwt({'user_id':user_id},exipry,secret)
        # 'is_refresh':True 主要是为了区分两个token的身份
        exipry = datetime.utcnow()+timedelta(days=current_app.config['JWT_REFRESH_DAYS'])
        refresh_token = generate_jwt({'user_id':user_id,'is_refresh':True},exipry,secret)
        return token,refresh_token


 def post(self):
        """
        登录创建token
        """
        json_parser = RequestParser()
        json_parser.add_argument('mobile', type=parser.mobile, required=True, location='json')
        json_parser.add_argument('code', type=parser.regex(r'^\d{6}$'), required=True, location='json')
        args = json_parser.parse_args()
        mobile = args.mobile
        code = args.code

        # 从redis中获取验证码
        key = 'app:code:{}'.format(mobile)
        try:
            real_code = current_app.redis_master.get(key)
        except ConnectionError as e:
            current_app.logger.error(e)
            real_code = current_app.redis_slave.get(key)

        try:
            current_app.redis_master.delete(key)
        except ConnectionError as e:
            current_app.logger.error(e)

        if not real_code or real_code.decode() != code:
            return {'message': 'Invalid code.'}, 400

        # 查询或保存用户
        user = User.query.filter_by(mobile=mobile).first()

        if user is None:
            # 用户不存在，注册用户
            # 采用雪花算法生成分布式id
            # 其它会用到雪花算法生成id的地方：文章id,评论id
            # 这三个id在代码中直接操作数据库使用（通过id获取数据），需要全局唯一，使用雪花算法生成。
            user_id = current_app.id_worker.get_id()
            user = User(id=user_id, mobile=mobile, name=mobile, last_login=datetime.now())
            db.session.add(user)
            profile = UserProfile(id=user.id)
            db.session.add(profile)
            db.session.commit()
        else:
            if user.status == User.STATUS.DISABLE:
                return {'message': 'Invalid user.'}, 403

        token, refresh_token = self._generate_tokens(user.id)

        return {'token': token, 'refresh_token': refresh_token}, 201

2. 请求钩子
common/utils/middlewares.py

from flask import request, g
from .jwt_util import verify_jwt

def jwt_authentication():
    """
    根据jwt验证用户身份
    """
    # 设置初始值
    g.user_id = None
    g.is_refresh_token = False
    # 获取请求头中的token
    token = request.headers.get('Authorization')
    if token and token.startswith('Bearer '):
        token = token.strip()[7:]
        # 验证token
        payload = verify_jwt(token)
        if payload:
        	# 保存到g对象中
            g.user_id = payload.get('user_id')
            g.is_refresh_token = payload.get('refresh')

notes：

  1. 请求钩子使用：@app.before_request装饰器。问题——app加载不进来该装饰器拿不到
  2. 使用current_app——前提：current_app属于应用上下文，此处是在一个独立的环境中。？？？到底什么是处于应用上下文，什么是处于独立的环境？？？
  3. 进入app创建的工厂函数中，
 # 添加请求钩子
    from utils.middlewares import jwt_authentication
    app.before_request(jwt_authentication)

3. 强制登录装饰器
common/utils/decorators.py

def login_required(func):
    """
    用户必须登录装饰器
    使用方法：放在method_decorators中
    """
    @wraps(func)
    def wrapper(*args, **kwargs):
        if not g.user_id:
            return {'message': 'User must be authorized.'}, 401
        elif g.is_refresh_token:
            return {'message': 'Do not use refresh token.'}, 403
        else:
            return func(*args, **kwargs)

    return wrapper

4. 更新token接口
接口
PUT /authentications
请求头 Authorization: Bearer refresh_token
返回
错误：403
正常：
{
“message”:“OK”,
“data”:{
“token”:
}
}
toutiao/resources/user/passport.py

  # 补充put方式 更新token接口
    def put(self):
        if g.user_id is not None and g.is_refresh is True:
            token, refresh_token = self.generate_tokens(g.user_id,refresh = False)
            return {'token':token}   # 在不需要refresh_token的情况下返回refresh_token会增大开销
        else:
            return {'meaasge':'Invalid refresh token'},403

# 对生成token的修改,新增参数：refresh = True d对生成refresh_token进行if逻辑判断。
 def _generate_tokens(self, user_id, with_refresh_token=True,refresh = True):
        ....
        ....
        if refresh:
            exipry = datetime.utcnow()+timedelta(days=current_app.config['JWT_REFRESH_DAYS'])
            refresh_token = generate_jwt({'user_id':user_id,'is_refresh':True},exipry,secret)
        else:
            refresh_token = None
        return token,refresh_token

JWT禁用问题

需求:
token颁发给用户后，在有效期内服务端都会认可，但是如果在token的有效期内需要让token失效，该怎么办？

此问题的应用场景：

  • 用户修改密码，需要颁发新的token，禁用还在有效期内的老token
  • 后台封禁用户

解决方案
在redis中使用set类型保存新生成的token

key = 'user:{}:token'.format(user_id)
pl = redis_client.pipeline()
pl.sadd(key, new_token)
pl.expire(key, token有效期)
pl.execute()

键：user:{user_id}:token
值：新token
类型：set

客户端使用token进行请求时，如果验证token通过，则从redis中判断是否存在该用户的user:{}:token记录：

  • 若不存在记录，放行，进入视图进行业务处理
  • 若存在，则对比本次请求的token是否在redis保存的set中：
    • 若存在，则放行
    • 若不在set的数值中，则返回403状态码，不再处理业务逻辑
key = 'user:{}:token'.format(user_id)
valid_tokens = redis_client.smembers(key, token)
if valid_tokens and token not in valid_tokens:
  return {'message': 'Invalid token'.}, 403

说明：

  1. redis记录设置有效期的时长是一个token的有效期，保证旧token过期后，redis的记录也能自动清除，不占用空间。
  2. 使用set保存新token的原因是，考虑到用户可能在旧token的有效期内，在其他多个设备进行了登录，需要生成多个新token，这些新token都要保存下来，既保证新token都能正常登录，又能保证旧token被禁用
野生程序员123
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Asp.net Core 3.1 JWT 认证Demo
12-27
Asp.net Core 3.1 JWT 认证Demo，简单的调用Demo，需要重新封装完善
ctfhub 技能树 JSON Web Token 修改签名算法
m0_62879498的博客
04-01 1738
ctfhub 技能树 JSON Web Token 修改签名算法 有些JWT库支持多种密码算法进行签名、验签。若目标使用非对称密码算法时，有时攻击者可以获取到公钥，此时可通过修改JWT头部的签名算法，将非对称密码算法改为对称密码算法，从而达到攻击者目的。 一进入页面，我们发现 页面源码： <?php require __DIR__ . '/vendor/autoload.php'; use \Firebase\JWT\JWT; class JWTHelper { public static fu
解析SpringSecurity+JWT认证流程实现
08-18
主要介绍了解析SpringSecurity+JWT认证流程实现，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧
详解Django配置JWT认证方式
09-16
主要介绍了Django 配置JWT认证方式，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧
详解SpringCloud服务认证（JWT）
08-28
本篇文章主要介绍了SpringCloud服务认证（JWT），小编觉得挺不错的，现在分享给大家，也给大家做个参考。一起跟随小编过来看看吧
JWT使用
海里鱼的技术博客
09-14 1174
Json Web Token(JWT) 是为了在网络应用环境间传递声明而执行的一种基于JSON的开放标准,JWT的声明一般被用来在身份提供者和服务提供者间传递被认证的用户身份信息，以便于从资源服务器获取资源，也可以增加一些额外的其它业务逻辑所必须的声明信息，该token也可直接被用于认证，也可被加密。 什么场景使用JWTPermalink 在前后端分离情况下前端的每一次请求都会携带指定url地址和参数， 从而很可能被不法分子根据指定的url来仿照前端直接请求后端，造成性能与数据的流失 ， 只需更换一些参数
JWT 加密解密
xyx_0300的博客
05-12 4663
1.1 什么是JWT JSON Web Token（JWT）是一个非常轻巧的规范。 这个规范允许我们使用JWT在用户和服务器之间传递安全可靠的信息。 简称JWT，在HTTP通信过程中，进行身份认证。 我们知道HTTP通信是无状态的，因此客户端的请求到了服务端处理完之后是无法返回给原来的客户端。 因此需要对访问的客户端进行识别，常用的做法是通过session机制： 客户端在服务端登陆成功之后，服务端会生成一个sessionID，返回给客户端，客户端将sessionID保存到cookie中，再次发起请求的时候，
JWT详解
东京易冷
11-14 271
这是个人看过讲的最清楚的JWT教程 链接：https://blog.csdn.net/u011277123/article/details/78918390
php + JWT详解
jkzyx123的博客
10-17 2300
JWT（JSON Web Token）是一个开放的标准（RFC 7519），它定义了一种简洁、自包含的方式，用于通信双方之间安全地将信息作为一个 JSON 对象进行传输。此信息可以被验证和信任，因为它被数字签名。Header：头部通常由两部分组成：token 类型和使用的哈希算法。Payload：载荷包含声明。声明是关于实体（通常是用户）的信息以及附加元数据。Signature。
TP6 JWT封装 中间件
m0_62229785的博客
02-19 663
安装jwt扩展： composer require firebase/php-jwt 如果您的 php < 7.2 或未安装 libsodium，可以选择从 composer安装包： composer require paragonie/sodium_compat 在app下新建一个文件夹services 新建一个类JwtService 类内封装代码如下： <?php namespace app\services; use Firebase\JWT\JWT; use Fireb
Spring安全框架——jwt的集成(服务器端)
12-21
新建用户表——users，并完成数据库增删查改 一、新建表 二、持久化映射，建立模型类，添加主键生成器 //指定生成器名称 @GeneratedValue(generator = "uuid2" ) @GenericGenerator(name = "uuid2", strategy = "org.hibernate.id.UUIDGenerator" ) 三、建立Dao层 package edu.ynmd.cms.dao; import edu.ynmd.cms.model.Users; import org.springframework.data.jpa.reposi
记录bingAI解答pyjwt参数和头部的问题
qq_27361945的博客
04-20 670
正在搜索:正在为你生成答案…已收到消息. 在Python中，jwt.encode()函数的参数有三个：第一个是payload，主要用来存放有效的信息，例如用户名，过期时间等想要传递的信息；第二个是secret_key，用于签名；第三个是algorithm，指定加密算法。希望这能帮到你。+2 更多2共20。
JWT登陆方案
smileKutper的博客
02-06 659
文章目录使用JWT登陆验证方案一、JWT简介1、头部（Header）2、载荷（playload）3、签证（signature）二、使用JJWT签发与验证token1、引入maven依赖：2、创建JwtHelper工具类：3、创建认证中心（controller层）：4、创建拦截器：三、JWT适用场景 使用JWT登陆验证方案 session登陆验证： 1> 登陆时携带用户名和密码，向服务器...
JWT(JSON Web Token )详解及实例
最新发布
深圳市多克创新科技有限公司
10-31 4489
JSON Web Token (JWT)详解
jwt python 编码 解码
weixin_39684041的博客
01-17 3769
代码示例 import jwt # jwt密钥 JWT_SECRET = '04147af1e42c20c3b50bdc111774346e' # 编码 def encode(payload): return jwt.encode(payload, JWT_SECRET, algorithm='HS256') # 解码 def decode(string): return jwt.decode(string, JWT_SECRET, algorithms=['HS256']) # j
Token生成方式——JWT使用指南
u010803453的博客
11-02 2070
Token生成方式——JWT使用指南JWT是什么JWT的构成Java代码展示这种Token方式的好处以及缺点 JWT是什么 JWT是一种Token生成工具，能够将若干信息封装到Token当中，从而可以替代传统的Session以及Cookie的检验用户方式。 同时JWT可以设置是token的过期时间，并且可以采取相关秘钥加密内容，从而保证内容不会被篡改：秘钥存储在服务器端，发放以及校验token的时...
JWT
Achaoll的博客
01-14 596
1，header ​ 格式为字典-元数据格式如下 {‘alg’:‘HS256’, ‘typ’:‘JWT’} #alg代表要使用的 算法 #typ表明该token的类别 - 此处必须为 大写的 JWT 1 2 3 ​ 该部分数据需要转成json串并用base64 加密 ​ 2，payload ​ 格式为字典-此部分分为公有声明和私有声明 公共声明：JWT提供了内置关键字用于描述常见的问题 1 此部分均为可选项，用户根据自己需求 按需添加key，常见公共声明如下： {‘exp’:xxx, # Expiratio
thinkphp6 使用 jwt 生成 token 中间件验证token
codeFly
12-12 3827
一、跨域认证的问题 互联网服务离不开用户认证。一般流程是下面这样。 1、用户向服务器发送用户名和密码。 2、服务器验证通过后，在当前对话（session）里面保存相关数据，比如用户角色、登录时间等等。 3、服务器向用户返回一个 session_id，写入用户的 Cookie。 4、用户随后的每一次请求，都会通过 Cookie，将 session_id 传回服务器。 5、服务器收到 session_id，找到前期保存的数据，由此得知用户的身份。 这种模式的问题在于，扩展性（scalin.
JWT Token 的生成及解密
arlene 的博客
02-16 5626
文章目录 一、登录流程？ 二、使用步骤 1.引入jwt 库 2.生成 token 3.验证 token 总结 一、登录流程？ 前端发送请求 -> 后端验证通过后签发 Token ->前端存入token，在请求其他接口是将token带入header头中 二、使用步骤 1.引入jwt 库 安装： composer require firebase/php-jwt 依赖composer，通过cmd进入项目根目录 或者项目终端安装： 检...
ruoyi jwt认证
08-23
ruoyi是一个开源的Java框架，提供了一套快速开发管理系统的解决方案。在ruoyi框架中，可以使用JWT（JSON Web Token）进行身份认证。 JWT是一种规范，不与特定的编程语言绑定在一起。在ruoyi框架中，常用的Java实现...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值