使用NodeJS实现JWT原理

作者&＃xff1a;mariozheng

原文地址&＃xff1a;https://mp.weixin.qq.com/s/RbDGbFaSk5BD0vTDaLiOWQ

JWT是json web token的简称&＃xff0c;本文介绍它的原理&＃xff0c;最后后端用nodejs自己实现如何为客户端生成令牌token和校验token

一

为什么需要会话管理

我们用 nodejs 为前端或者其他服务提供 resful 接口时&＃xff0c;http 协议他是一个无状态的协议&＃xff0c;有时候我们需要根据这个请求的上下获取具体的用户是否有权限&＃xff0c;针对用户的上下文进行操作。所以出现了COOKIEs session还有jwt这几种技术的出现&＃xff0c; 都是对HTTP协议的一个补充。使得我们可以用HTTP协议&＃43;状态管理构建一个的面向用户的WEB应用。

二

Session 和 COOKIE

session 和 COOKIEs 是有联系的&＃xff0c;session 就是服务端在客户端 COOKIEs 种下的session_id, 服务端保存session_id所对应的当前用户所有的状态信息。每次客户端请求服务端都带上COOKIEs中的session_id, 服务端判断是否有具体的用户信息&＃xff0c;如果没有就去调整登录。

• COOKIEs安全性不好&＃xff0c;攻击者可以通过获取本地COOKIEs进行欺骗或者利用COOKIEs进行CSRF攻击。

• COOKIEs在多个域名下&＃xff0c;会存在跨域问题

• session的信息是保存在服务端上面的&＃xff0c;当我们node.js在stke部署多台机器的时候&＃xff0c;需要解决共享session&＃xff0c;所以引出来session持久化问题&＃xff0c;所以session不支持分布式架构&＃xff0c;无法支持横向扩展&＃xff0c;只能通过数据库来保存会话数据实现共享。如果持久层失败会出现认证失败。

三

JWT的定义

jwt是json web token的全称&＃xff0c;他解决了session以上的问题&＃xff0c;优点是服务器不保存任何会话数据&＃xff0c;即服务器变为无状态&＃xff0c;使其更容易扩展&＃xff0c;什么情况下使用jwt比较合适&＃xff0c;我觉得就是授权这个场景&＃xff0c;因为jwt使用起来轻便&＃xff0c;开销小&＃xff0c;后端无状态&＃xff0c;所以使用比较广泛。

四

JWT的原理

JWT 的原理是&＃xff0c;服务器认证以后&＃xff0c;生成一个 JSON 对象&＃xff0c;发回给用户&＃xff0c;就像下面这样。

{"姓名": "张三","角色": "管理员","到期时间": "2018年7月1日0点0分"
}


以后&＃xff0c;用户与服务端通信的时候&＃xff0c;都要发回这个 JSON 对象。服务器完全只靠这个对象认定用户身份。为了防止用户篡改数据&＃xff0c;服务器在生成这个对象的时候&＃xff0c;会加上签名。

五

JWT的认证流程

        JWT的流程说明&＃xff1a;

1. 浏览器发起请求登陆&＃xff0c;携带用户名和密码&＃xff1b;

2. 服务端根据用户名和明码到数据库验证身份&＃xff0c;根据算法&＃xff0c;将用户标识符打包生成 token,

3. 服务器返回JWT信息给浏览器&＃xff0c;JWT不应该包含敏感信息&＃xff0c;这是很重要的一点

4. 浏览器发起请求获取用户资料&＃xff0c;把刚刚拿到的 token一起发送给服务器&＃xff0c;一般放在header里面&＃xff0c;字段为authorization

5. 服务器发现数据中有 token&＃xff0c;decode token的信息&＃xff0c;然后再次签名&＃xff0c;验明正身&＃xff1b;

6. 服务器返回该用户的用户资料&＃xff1b;

7. 服务器可以在payload设置过期时间&＃xff0c; 如果过期了&＃xff0c;可以让客户端重新发起验证。

六

JWT的数据结构

JWT 包含了使用.风格的三个部分&＃xff0c;包含header&＃xff08;头部&＃xff09;、Payload&＃xff08;荷载&＃xff09;以及 Signature&＃xff08;签名&＃xff09;

Header 头部

{"alg": "HS256","typ": "JWT"}// algorithm &＃61;> HMAC SHA256// type &＃61;> JWT

这是固定的写法&＃xff0c;alg表面要用的是HS256算法

Payload 负载、载荷

JWT 规定了7个官方字段

iss (issuer)&＃xff1a;签发人
exp (expiration time)&＃xff1a;过期时间
sub (subject)&＃xff1a;主题
aud (audience)&＃xff1a;受众
nbf (Not Before)&＃xff1a;生效时间
iat (Issued At)&＃xff1a;签发时间
jti (JWT ID)&＃xff1a;编号

除了这七个&＃xff0c;可以自定义&＃xff0c;比如过期时间

Signature 签名 

对前两部分header和payload进行签名&＃xff0c;防止数据篡改

HMACSHA256(base64UrlEncode(header) &＃43; "." &＃43;base64UrlEncode(payload),secret)

secret是一段字符串&＃xff0c;后端保存&＃xff0c;需要注意的是 JWT 作为一个令牌 token&＃xff0c;有些场合可能会放到 URL&＃xff08;比如 api.example.com/?token&＃61;xxx&＃xff09;。Base64 有三个字符&＃43;、/和&＃61;&＃xff0c;在 URL 里面有特殊含义&＃xff0c;所以要被替换掉&＃xff1a;&＃61;被省略、&＃43;替换成-&＃xff0c;/替换成_ 。这就是 Base64URL 算法。

七

jwt使用方式

HTTP 请求的头信息Authorization字段里面, Bearer也是规定好的

Authorization: Bearer

通过url传输&＃xff08;不推荐&＃xff09;

http://www.xxx.com/pwa?token&＃61;xxxxx

如果是post请求也可以放在请求体中

八

在koa项目中使用

可以使用现成库&＃xff0c;jwt-simple 或者 jsonwebtoken

let Koa &＃61; require(&＃39;koa&＃39;);
let Router &＃61; require(&＃39;koa-router&＃39;);
let bodyparser &＃61; require(&＃39;koa-bodyparser&＃39;);
let jwt &＃61; require(&＃39;jwt-simple&＃39;);
let router &＃61; new Router()
let app &＃61; new Koa();
app.use(bodyparser());
// 可以自己自定义
let secret &＃61; &＃39;zhenglei&＃39;;
// 验证是否登陆
router.post(&＃39;/login&＃39;,async(ctx)&＃61;>{ let {username,password} &＃61; ctx.request.body;if(username &＃61;&＃61;&＃61; &＃39;admin&＃39; && password &＃61;&＃61;&＃61; &＃39;admin&＃39;){// 通常会查数据库&＃xff0c;这里简单的演示let token &＃61; jwt.encode(username, secret);ctx.body &＃61; {code:200,username,token,}}
});
// 验证是否有权限
router.get(&＃39;/validate&＃39;,async(ctx)&＃61;>{ let Authorization &＃61; ctx.get(&＃39;authorization&＃39;)let [,token] &＃61; Authorization.split(&＃39; &＃39;);if(token){try{let r &＃61; jwt.decode(token,secret);ctx.body &＃61; {code:200,username:r,token}}catch(e){ctx.body &＃61; {code:401,data:&＃39;没有登陆&＃39;}}}else{ctx.body &＃61; {code:401,data:&＃39;没有登陆&＃39;}}});
app.use(router.routes());
app.listen(4000);


1. 实现两个接口 一个是/login 验证是否登录&＃xff0c;一个是 validate,验证是否有权限

2. 请求login接口的时候&＃xff0c;客户端带username和password, 后端一般会查数据库&＃xff0c;验证是否存在当前用户&＃xff0c;如果存在则为username进行签名&＃xff0c;千万不要给password这些敏感信息也带进来签名

3. 客户端接收后端给的token令牌&＃xff0c;再请求其他接口&＃xff0c;比如这个例子的/validate的时候&＃xff0c;ajax请求的时候&＃xff0c;可以在header指定authorization字段&＃xff0c;后端拿到token进行decode&＃xff0c;然后将header和payload进行再一次的签名&＃xff0c;如果前后的签名一致&＃xff0c;说明没有被篡改过&＃xff0c;则权限验证通过。因为是同步的过程&＃xff0c;所以可以用try catch来捕捉错误

九

原理的实现

1. sha256哈希算法&＃xff0c;可以用nodejs的内置加密模块crypto, 生成base64字符串&＃xff0c;要注意的是生成base64需要为&＃43; - &＃61; 做一下替换&＃xff0c;&＃61;被省略、&＃43;替换成-&＃xff0c;/替换成_ 。这就是 Base64URL 算法。

2. token令牌的组成是header, payload和sigin的通过.来组成

3. base64urlUnescape 的解码是固定写法&＃xff0c;decode出base64的内容

let myJwt &＃61; {sign(content,secret){let r &＃61; crypto.createHmac(&＃39;sha256&＃39;,secret).update(content).digest(&＃39;base64&＃39;);return this.base64urlEscape(r)},base64urlEscape(str){return str.replace(/\&＃43;/g, &＃39;-&＃39;).replace(/\//g, &＃39;_&＃39;).replace(/&＃61;/g, &＃39;&＃39;);},toBase64(content){return this.base64urlEscape(Buffer.from(JSON.stringify(content)).toString(&＃39;base64&＃39;))},encode(username,secret){let header &＃61; this.toBase64({ typ: &＃39;JWT&＃39;, alg: &＃39;HS256&＃39; });let content &＃61; this.toBase64(username);let sign &＃61; this.sign([header,content].join(&＃39;.&＃39;),secret);return [header,content,sign].join(&＃39;.&＃39;)},base64urlUnescape(str) {str &＃43;&＃61; new Array(5 - str.length % 4).join(&＃39;&＃61;&＃39;);return str.replace(/\-/g, &＃39;&＃43;&＃39;).replace(/_/g, &＃39;/&＃39;);},decode(token,secret){let [header,content,sign] &＃61; token.split(&＃39;.&＃39;);let newSign &＃61; this.sign([header,content].join(&＃39;.&＃39;),secret);if(sign &＃61;&＃61;&＃61; newSign){return Buffer.from(this.base64urlUnescape(content),&＃39;base64&＃39;).toString();}else{throw new Error(&＃39;被篡改&＃39;)}}
}


十

JWT的优缺点

1. JWT默认不加密&＃xff0c;但可以加密。生成原始令牌后&＃xff0c;可以使用改令牌再次对其进行加密。

2. 当JWT未加密方法时&＃xff0c;一些私密数据无法通过JWT传输。

3. JWT不仅可用于认证&＃xff0c;还可用于信息交换。善用JWT有助于减少服务器请求数据库的次数。

4. JWT的最大缺点是服务器不保存会话状态&＃xff0c;所以在使用期间不可能取消令牌或更改令牌的权限。也就是说&＃xff0c;一旦JWT签发&＃xff0c;在有效期内将会一直有效

5. JWT本身包含认证信息&＃xff0c;因此一旦信息泄露&＃xff0c;任何人都可以获得令牌的所有权限。为了减少盗用&＃xff0c;JWT的有效期不宜设置太长。对于某些重要操作&＃xff0c;用户在使用时应该每次都进行进行身份验证。

6. 为了减少盗用和窃取&＃xff0c;JWT不建议使用HTTP协议来传输代码&＃xff0c;而是使用加密的HTTPS协议进行传输。

❤️爱心三连击1.看到这里了就点个在看支持下吧&＃xff0c;你的「点赞&＃xff0c;在看」是我创作的动力。
2.关注公众号程序员成长指北&＃xff0c;回复「1」加入高级前端交流群&＃xff01;「在这里有好多 前端 开发者&＃xff0c;会讨论 前端 Node 知识&＃xff0c;互相学习」&＃xff01;
3.也可添加微信【ikoala520】&＃xff0c;一起成长。“在看转发”是最大的支持