深入浅出JWT

https://jwt.io/

header&＃xff08;头部&＃xff09;承载两部分信息&＃xff1a;

• 声明类型&＃xff0c;这里是JWT&＃xff1b;
• 声明加密的算法&＃xff0c;通常直接使用 HMAC SHA256

playload&＃xff08;载荷&＃xff09;就是存放有效信息的地方&＃xff0c;这些有效信息包含三个部分&＃xff1a;

• 标准中注册的声明&＃xff1b;
• 公共的声明&＃xff1b;
• 私有的声明&＃xff1b;

signature&＃xff08;签证信息&＃xff09;

• 对header&＃43;.&＃43;payload进行base64编码&＃xff0c;然后实用签证算法和密钥加密

基于session&＃43;COOKIE的认证流程

• 用户在浏览器中输入用户名和密码&＃xff0c;服务器通过密码校验后生成一个session并保存到数据库
• 服务器为用户生成一个sessionId&＃xff0c;并将具有sesssionId的COOKIE放置在用户浏览器中&＃xff0c;在后续的请求中都将带有这个COOKIE信息进行访问
• 服务器获取COOKIE&＃xff0c;通过获取COOKIE中的sessionId查找数据库判断当前请求是否有效

不足之处&＃xff1a;

• 服务器压力增大&＃xff1a;通常session是存储在内存中的&＃xff0c;每个用户通过认证之后都会将session数据保存在服务器的内存中&＃xff0c;而当用户量增大时&＃xff0c;服务器的压力增大。
• CSRF跨站伪造请求攻击&＃xff1a;session是基于COOKIE进行用户识别的, COOKIE如果被截获&＃xff0c;用户就会很容易受到跨站请求伪造的攻击。
• 扩展性不强&＃xff1a;如果将来搭建了多个服务器&＃xff0c;虽然每个服务器都执行的是同样的业务逻辑&＃xff0c;但是session数据是保存在内存中的&＃xff08;不是共享的&＃xff09;&＃xff0c;用户第一次访问的是服务器1&＃xff0c;当用户再次请求时可能访问的是另外一台服务器2&＃xff0c;服务器2获取不到session信息&＃xff0c;就判定用户没有登陆过。

基于JWT的认证流程

JWT保存在客户端

• 用户在浏览器中输入用户名和密码&＃xff0c;服务器通过密码校验后生成一个token并保存到数据库
• 前端获取到token&＃xff0c;存储到COOKIE或者local storage中&＃xff0c;在后续的请求中都将带有这个token信息进行访问。当用户希望访问一个受保护的路由或者资源的时候&＃xff0c;可以把它放在 COOKIE 里面自动发送&＃xff0c;但是这样不能跨域&＃xff0c;所以更好的做法是放在 HTTP 请求头信息的 Authorization 字段里&＃xff0c;使用 Bearer 模式添加 JWT。
• 服务器获取token值&＃xff0c;通过查找数据库判断当前token是否有效

JWT和session的优缺点

• 都保存了用户身份信息&＃xff0c;都有过期时间。session翻译为会话&＃xff0c;token翻译为令牌。session是空间换时间&＃xff0c;token是时间换空间。

• JWT保存在客户端&＃xff0c;在分布式环境下不需要做额外工作。而session因为保存在服务端&＃xff0c;分布式环境下需要实现多机数据共享

• session一般需要结合COOKIE实现认证&＃xff0c;所以需要浏览器支持COOKIE&＃xff0c;因此移动端无法使用session认证方案

• 安全性&＃xff1a;JWT的payload使用的是base64编码的&＃xff0c;因此在JWT中不能存储敏感数据。而session的信息是存在服务端的&＃xff0c;相对来说更安全。

• 性能&＃xff1a;经过编码之后JWT将非常长&＃xff0c;COOKIE的限制大小一般是4k&＃xff0c;COOKIE很可能放不下&＃xff0c;所以JWT一般放在local storage里面。并且用户在系统中的每一次http请求都会把JWT携带在Header里面&＃xff0c;HTTP请求的Header可能比Body还要大。而sessionId只是很短的一个字符串&＃xff0c;因此使用JWT的HTTP请求比使用session的开销大得多

• 一次性&＃xff1a;无状态是JWT的特点&＃xff0c;但也导致了这个问题&＃xff0c;JWT是一次性的。想修改里面的内容&＃xff0c;就必须签发一个新的JWT&＃xff0c;若想废弃&＃xff0c;一种常用的处理手段是结合redis或者续约

Acesss Token

Acesss Token是访问资源接口&＃xff08;API&＃xff09;时所需要的资源凭证。简单 token 的组成&＃xff1a; uid(用户唯一的身份标识)、time(当前时间的时间戳)、sign。每一次请求都需要携带 token&＃xff0c;需要把 token 放到 HTTP 的 Header 里&＃xff0c;基于 token 的用户认证是一种服务端无状态的认证方式&＃xff0c;服务端不用存放 token 数据。用解析 token 的计算时间换取 session 的存储空间&＃xff0c;从而减轻服务器的压力&＃xff0c;减少频繁的查询数据库token 完全由应用管理&＃xff0c;所以它可以避开同源策略

特点&＃xff1a;

• 服务端无状态化、可扩展性好
• 支持移动端设备
• 安全
• 支持跨程序调用

token 的身份验证流程&＃xff1a;

• 客户端使用用户名跟密码请求登录
• 服务端收到请求&＃xff0c;去验证用户名与密码
• 验证成功后&＃xff0c;服务端会签发一个 token 并把这个 token 发送给客户端
• 客户端收到 token 以后&＃xff0c;会把它存储起来&＃xff0c;比如放在 COOKIE 里或者 localStorage 里
• 客户端每次向服务端请求资源的时候需要带着服务端签发的 token
• 服务端收到请求&＃xff0c;然后去验证客户端请求里面带着的 token &＃xff0c;如果验证成功&＃xff0c;就向客户端返回请求的数据

Refresh Token

refresh token 是专用于刷新 access token 的 token。如果没有 refresh token&＃xff0c;也可以刷新 access token&＃xff0c;但每次刷新都要用户输入登录用户名与密码&＃xff0c;会很麻烦。有了 refresh token&＃xff0c;可以减少这个麻烦&＃xff0c;客户端直接用 refresh token 去更新 access token&＃xff0c;无需用户进行额外的操作。

• Access Token 的有效期比较短&＃xff0c;当 Acesss Token 由于过期而失效时&＃xff0c;使用 Refresh Token 就可以获取到新的 Token&＃xff0c;如果 Refresh Token 也失效了&＃xff0c;用户就只能重新登录了。
• Refresh Token 及过期时间是存储在服务器的数据库中&＃xff0c;只有在申请新的 Acesss Token 时才会验证&＃xff0c;不会对业务接口响应时间造成影响&＃xff0c;也不需要向 Session 一样一直保持在内存中以应对大量的请求。

相同&＃xff1a;

• 都是访问资源的令牌
• 都可以记录用户的信息
• 都是使服务端无状态化
• 都是只有验证成功后&＃xff0c;客户端才能访问服务端上受保护的资源

区别&＃xff1a;

• Token&＃xff1a;服务端验证客户端发送过来的 Token 时&＃xff0c;还需要查询数据库获取用户信息&＃xff0c;然后验证 Token 是否效。
• JWT&＃xff1a; 将 Token 和 Payload 加密后存储于客户端&＃xff0c;服务端只需要使用密钥解密进行校验&＃xff08;校验也是 JWT 自己实现的&＃xff09;即可&＃xff0c;不需要查询或者减少查询数据库&＃xff0c;因为 JWT 自包含了用户信息和加密的数据。

JWT使用流程

• 用户登录成功后&＃xff0c;获取token
• 单体项目创建拦截器&＃xff0c;分布式项目创建网关
• 配置拦截器

引入依赖

<dependency><groupId>com.auth0groupId><artifactId>java-jwtartifactId><version>3.18.1version>
dependency>


创建JWT工具类

public class JWTUtil {private static final Logger logger &＃61; LoggerFactory.getLogger(JWTUtil.class);//私钥private static final String TOKEN_SECRET &＃61; "123456";/*** 生成token&＃xff0c;自定义过期时间 毫秒*/public static String generateToken(UserTokenDTO userTokenDTO) {try {// 私钥和加密算法Algorithm algorithm &＃61; Algorithm.HMAC256(TOKEN_SECRET);// 设置头部信息Map<String, Object> header &＃61; new HashMap<>(2);header.put("Type", "Jwt");header.put("alg", "HS256");return JWT.create().withHeader(header).withClaim("token", JSONObject.toJSONString(userTokenDTO))//.withExpiresAt(date).sign(algorithm);} catch (Exception e) {logger.error("generate token occur error, error is:{}", e);return null;}}/*** 检验token是否正确*/public static UserTokenDTO parseToken(String token) {Algorithm algorithm &＃61; Algorithm.HMAC256(TOKEN_SECRET);JWTVerifier verifier &＃61; JWT.require(algorithm).build();DecodedJWT jwt &＃61; verifier.verify(token);String tokenInfo &＃61; jwt.getClaim("token").asString();return JSON.parseObject(tokenInfo, UserTokenDTO.class);}
}


Redis工具类

public final class RedisServiceImpl implements RedisService {/*** 过期时长*/private final Long DURATION &＃61; 1 * 24 * 60 * 60 * 1000L;&＃64;Resourceprivate RedisTemplate redisTemplate;private ValueOperations<String, String> valueOperations;&＃64;PostConstructpublic void init() {RedisSerializer redisSerializer &＃61; new StringRedisSerializer();redisTemplate.setKeySerializer(redisSerializer);redisTemplate.setValueSerializer(redisSerializer);redisTemplate.setHashKeySerializer(redisSerializer);redisTemplate.setHashValueSerializer(redisSerializer);valueOperations &＃61; redisTemplate.opsForValue();}&＃64;Overridepublic void set(String key, String value) {valueOperations.set(key, value, DURATION, TimeUnit.MILLISECONDS);log.info("key&＃61;{}, value is: {} into redis cache", key, value);}&＃64;Overridepublic String get(String key) {String redisValue &＃61; valueOperations.get(key);log.info("get from redis, value is: {}", redisValue);return redisValue;}&＃64;Overridepublic boolean delete(String key) {boolean result &＃61; redisTemplate.delete(key);log.info("delete from redis, key is: {}", key);return result;}&＃64;Overridepublic Long getExpireTime(String key) {return valueOperations.getOperations().getExpire(key);}
}


登录方法

public String login(LoginUserVO loginUserVO) {//1.判断用户名密码是否正确UserPO userPO &＃61; userMapper.getByUsername(loginUserVO.getUsername());if (userPO &＃61;&＃61; null) {throw new UserException(ErrorCodeEnum.TNP1001001);}if (!loginUserVO.getPassword().equals(userPO.getPassword())) {throw new UserException(ErrorCodeEnum.TNP1001002);}//2.用户名密码正确生成tokenUserTokenDTO userTokenDTO &＃61; new UserTokenDTO();PropertiesUtil.copyProperties(userTokenDTO, loginUserVO);userTokenDTO.setId(userPO.getId());userTokenDTO.setGmtCreate(System.currentTimeMillis());String token &＃61; JWTUtil.generateToken(userTokenDTO);//3.存入token至redisredisService.set(userPO.getId(), token);return token;
}


登出方法

public boolean loginOut(String id) {boolean result &＃61; redisService.delete(id);if (!redisService.delete(id)) {throw new UserException(ErrorCodeEnum.TNP1001003);}return result;
}


修改密码方法

public String updatePassword(UpdatePasswordUserVO updatePasswordUserVO) {// 1.修改密码UserPO userPO &＃61; UserPO.builder().password(updatePasswordUserVO.getPassword()).id(updatePasswordUserVO.getId()).build();UserPO user &＃61; userMapper.getById(updatePasswordUserVO.getId());if (user &＃61;&＃61; null) {throw new UserException(ErrorCodeEnum.TNP1001001);}if (userMapper.updatePassword(userPO) !&＃61; 1) {throw new UserException(ErrorCodeEnum.TNP1001005);}// 2.生成新的tokenUserTokenDTO userTokenDTO &＃61; UserTokenDTO.builder().id(updatePasswordUserVO.getId()).username(user.getUsername()).gmtCreate(System.currentTimeMillis()).build();String token &＃61; JWTUtil.generateToken(userTokenDTO);// 3.更新tokenredisService.set(user.getId(), token);return token;
}


拦截器验证

public boolean preHandle(HttpServletRequest request, HttpServletResponse response,Object handler) throws Exception {String authToken &＃61; request.getHeader("Authorization");String token &＃61; authToken.substring("Bearer".length() &＃43; 1).trim();UserTokenDTO userTokenDTO &＃61; JWTUtil.parseToken(token);//1.判断请求是否有效if (redisService.get(userTokenDTO.getId()) &＃61;&＃61; null || !redisService.get(userTokenDTO.getId()).equals(token)) {return false;}//2.判断是否需要续期if (redisService.getExpireTime(userTokenDTO.getId()) < 1 * 60 * 30) {redisService.set(userTokenDTO.getId(), token);log.error("update token info, id is:{}, user info is:{}", userTokenDTO.getId(), token);}return true;
}


配置拦截器

&＃64;Configuration
public class InterceptorConfig implements WebMvcConfigurer {&＃64;Overridepublic void addInterceptors(InterceptorRegistry registry) {registry.addInterceptor(authenticateInterceptor()).excludePathPatterns("/logout/**") //开发的路径.excludePathPatterns("/login/**") //开发的路径.addPathPatterns("/**");}&＃64;Beanpublic AuthenticateInterceptor authenticateInterceptor() {return new AuthenticateInterceptor();}
}


不使用redis的JWT

可以参考&＃xff1a;https://juejin.cn/post/6962142423879270437

将token或者一个唯一标识UUID&＃61;UUID.randomUUID().toString()存进COOKIE中&＃xff08;别存在Http的header中了&＃xff09;&＃xff0c;设置路径为整个项目根路径/*&＃xff1b; 往往以这个唯一标识为key&＃xff0c;用户信息为value缓存在服务器中&＃xff01;&＃xff01;&＃xff01;