登陆认证权限控制（1）——从session到token认证的变迁 session的问题分析 + CSRF攻击的认识

news2024/9/21 22:11:37

在这里插入图片描述

前言

登陆认证，权限控制是一个系统必不可少的部分，一个开放访问的系统能否在上线后稳定持续运行其实很大程度上取决于登陆认证和权限控制措施是否到位，不然可能系统刚刚上线就会夭折。

本篇博客回溯登陆认证的变迁历史，阐述session的特点，分析其存在问题，以及token认证的特点，此外阐述了跨站请求伪造攻击CSRF。

文章目录

  • 前言
  • 引出
  • session认证及其问题
    • http请求特点和session认证
    • 基于session认证所显露的问题
    • 认识跨站请求伪造（CSRF，Cross-site request forgery）
      • CSRF原理
      • GET类型的CSRF
      • POST类型的CSRF
  • 基于token的鉴权机制
    • Jwt，Json web token
    • token的颁发流程
  • 总结

引出

1.基于Session的认证简介，基于Token的认证简介；
2.传统Session认证优缺点；
3.token的办法流程，secret是保存在服务器端的，jwt的签发也是在服务端；
4.认识跨站请求伪造（CSRF，Cross-site request forgery）；

session认证及其问题

在这里插入图片描述

http请求特点和session认证

http请求是无状态的，指的是：http协议协议对于事务处理没有记忆能力，不能保存每次客户端提交的信息，即当服务器返回应答之后，这次事务的所有信息就都丢掉了。如果用户发来一个新的请求，服务器也无法知道它是否与上次的请求有联系。

http协议本身是一种无状态的协议，而这就意味着如果用户向我们的应用提供了用户名和密码来进行用户认证，那么下一次请求时，用户还要再一次进行用户认证才行，因为根据http协议，我们并不能知道是哪个用户发送的请求，所以为了让我们的应用能识别是哪个用户发出的。

我们只能在服务器存储一份用户登陆的信息，这份登陆信息会在响应时传递给服务器，告诉其保存为cookie，以便下次请求时发送给我们的应用，这样我们的应用就能识别请求来自哪个用户了，这就是传统的基于sessino认证

在这里插入图片描述

但是这种基于session的认证使应用本身很难得扩展，随着不用客户端的增加，独立的服务器已无法承载更多的用户，而这个时候基于session认证应用的问题就会暴露出来

Java网络开发（Session）—— 从http请求 到 cookie 到 session & 用 session控制 删改数据的权限

在这里插入图片描述

基于session认证所显露的问题

  • Session：每个用户经过我们的应用认证之后，我们的应用都要在服务端做一次记录，以便用户下次请求的鉴别，通常而言session都是保存在内存中，而随着认证用户的增多，服务端的开销会明显增大。

  • 应用场景：只适合于单体架构,集群/分布式架构的不合适

    • Session要进行同步，比较困难（网络抖动、延迟等）；
    • Cookie: 不支持跨域，无法在前后端分离项目中应用；
    • 移动端(很少使用cookie)，比如微信小程序不支持cookie；

  • 扩展性：用户认证之后，服务端做认证记录，如果认证的记录被保存在内存的话，这意味着用户下次请求还必须要请求在这台服务器上，这样才能拿到授权的资源，这样在分布式的应用上，响应的限制了负载均衡器的能力，也意味着限制了应用的扩展性。

在这里插入图片描述

认识跨站请求伪造（CSRF，Cross-site request forgery）

CSRF基本原理、GET和POST型CSRF

跨站请求伪造（英语：Cross-site request forgery），也被称为 one-click attack 或者 session riding，通常缩写为 CSRF 或者 XSRF， 是一种挟制用户在当前已登录的Web应用程序上执行非本意的操作的攻击方法。

CSRF原理

在这里插入图片描述

A并不知道(4)中的请求是C发出的还是B发出的，由于浏览器会自动带上用户C的Cookie，所以A会根据用户的权限处理(4)的请求，这样B就达到了模拟用户操作的目的

从上图能够看出，要完毕一次CSRF攻击，受害者必须依次完毕两个步骤：

  • 登录受信任站点A，并在本地生成Cookie。
  • 在不登出A的情况下，訪问危急站点B。

其他的攻击

  1. 跨站脚本攻击（Cross-site scripting，XSS）：攻击者通过在目标网站上注入恶意脚本代码，使得用户在浏览器中执行这些恶意脚本。这种攻击可以用来窃取用户的敏感信息、劫持用户会话、篡改网页内容等。
  2. SQL注入攻击（SQL injection）：攻击者通过在用户输入的数据中注入恶意的SQL代码，从而绕过应用程序的输入验证，执行未经授权的数据库操作。这种攻击可以导致数据库信息泄露、数据损坏或者应用程序的完全控制权被攻击者获取。
  3. 会话劫持（Session hijacking）：攻击者通过窃取用户的会话标识（如Cookie），冒充合法用户的身份进行操作。这种攻击可以导致攻击者获取用户的敏感信息、执行未经授权的操作等。
  4. 点击劫持（Clickjacking）：攻击者通过在一个网页上覆盖一个透明的、欺骗性的图层，诱使用户在不知情的情况下点击了隐藏的恶意链接或按钮。这种攻击可以用来执行未经授权的操作、下载恶意软件等。
  5. XML外部实体攻击（XML External Entity，XXE）：攻击者通过在XML解析过程中利用外部实体引用，读取敏感文件、执行远程请求等。这种攻击可以导致信息泄露、拒绝服务等问题。

GET类型的CSRF

仅仅须要一个HTTP请求。就能够构造一次简单的CSRF。

案例：

<!-- 银行站点A：它以GET请求来完毕银行转账的操作，如：-->
http://www.mybank.com/Transfer.php?toBankId=11&money=1000
<!-- 危急站点B：它里面有一段HTML的代码例如以下：-->
<img src=http://www.mybank.com/Transfer.php?toBankId=11&money=1000>

首先。你登录了银行站点A，然后訪问危急站点B，这时你会发现你的银行账户少了1000块

为什么会这样呢？原因是银行站点A违反了HTTP规范，使用GET请求更新资源。

在访问危急站点B的之前。你已经登录了银行站点A，而B中的 一个合法的请求，但这里被不法分子利用了）。所以你的浏览器会带上你的银行站点A的Cookie发出Get请求，去获取资源以GET的方式请求第三方资源（这里的第三方就是指银行站点了，原本这是http://www.mybank.com/Transfer.php?toBankId=11&money=1000 ，结果银行站点服务器收到请求后，觉得这是一个更新资源操作（转账操作），所以就立马进行转账操作。

POST类型的CSRF

这种类型的CSRF危害没有GET型的大，利用起来通常使用的是一个自动提交的表单

案例：

<form action=http://www.mybank.com/Transfer.php method=POST>
    <input type="text" name="toBankId" value="11" />
    <input type="text" name="money" value="1000" />
</form>
<script> document.forms[0].submit(); </script>

访问该页面后，表单会自动提交，相当于模拟用户完成了一次POST操作。

目前主流的做法是使用Token抵御CSRF攻击。

基于token的鉴权机制

基于token的鉴权机制类似于http协议也是无状态的，它不需要在服务端去保留用户的认证信息或会话信息。这也就意味着基于token认证机制的应用不需要去考虑用户在哪一台服务器登陆了，这就为应用的扩展提供了便利。

流程

  • 用户使用用户名密码请求服务器
  • 服务器进行验证用户信息
  • 服务器通过验证发送给用户一个token
  • 客户端存储token，并在每次请求时附加这个token值
  • 服务器验证token，并返回数据

这个token必须要在每次请求时发送给服务器，它应该保存在请求头中，另外服务器要支持CORS（跨来源资源共享）策略，一般我们在服务端这么做就可以了： Access-Control-Allow-Origin：*

（Access-Control-Allow-Origin是HTML5中定义的一种解决资源跨域的策略。他是通过服务器端返回带有Access-Control-Allow-Origin标识的Response header，用来解决资源的跨域权限问题。）

Jwt，Json web token

Jwt（Json web token）——从Http协议到session+cookie到Token & Jwt介绍 & Jwt的应用：登陆验证的流程

在这里插入图片描述

JSON Web Token（令牌）

JSON Web Token (JWT) is an open standard (RFC 7519) that defines a compact压缩的 and self-contained自包含的 way for securely transmitting information安全传输 between parties as a JSON object。

This information can be verified and trusted because it is digitally signed. JWTs can be signed using a secret (with the HMAC algorithm) or a public/private key pair using RSA or ECDSA.

  • 基于JSON格式用于网络传输的令牌。
  • 紧凑的Claims声明格式。
  • Claim有索赔、声称、要求或者权利要求的含义。

在这里插入图片描述

token的颁发流程

官网：https://jwt.io/

一般用于身份验证和数据信息交换

Json web token（JWT）是为了在网络应用环境间传递声明而执行的一种基于JSON的开发标准（RFC 7519），该token（令牌）被设计为紧凑且安全的，特别适用于分布式站点的单点登陆（SSO）场景。JWT的声明一般被用来在身份提供者和服务提供者间传递被认证的用户身份信息，以便于从资源服务器获取资源，也可以增加一些额外的其它业务逻辑所必须的声明信息，该token也可直接被用于认证，也可被加密。

注意：secret是保存在服务器端的，jwt的签发也是在服务端的，secret就是用来进行jwt的签发和jwt的验证，所以它就是你服务端的私钥，在任何场景都不应该流露出去，一旦客户端得知这个secret，那就意味着客户端可以自我签发jwt了

流程

  • 一种做法是放在HTTP请求的头信息字段里面，格式如下：

Token: xxxx.xxxx.xxx

  • 另一种做法是，JWT就放在POST请求的数据体里面。

服务端会验证token，如果验证通过就会返回相应的资源，整个流程就是这样

流程

  • 用户使用用户名密码请求服务器
  • 服务器进行验证用户信息
  • 服务器通过验证发送给用户一个token
  • 客户端存储token，并在每次请求时附加这个token值
  • 服务器验证token，并返回数据

在这里插入图片描述

详细流程(时序图)

在这里插入图片描述

总结

1.基于Session的认证简介，基于Token的认证简介；
2.传统Session认证优缺点；
3.token的办法流程，secret是保存在服务器端的，jwt的签发也是在服务端；
4.认识跨站请求伪造（CSRF，Cross-site request forgery）；

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1075943.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

查找算法 —— 斐波拉契查找法

查找算法 —— 斐波拉契查找法

一、介绍 斐波拉契查找法是以分割范围进行查找的&#xff0c;分割的方式是按照斐波拉契级数的方式来分割。好处是&#xff1a;只用到加减运算&#xff0c;计算效率较高一些。 要使用斐波拉契查找首先需要定义一颗斐波拉契查找树&#xff0c;建立规则如下&#xff1a; 1.斐波拉契…
阅读更多...
德国鞋履品牌【Birkenstock】申请15亿美元纳斯达克IPO上市

德国鞋履品牌【Birkenstock】申请15亿美元纳斯达克IPO上市

来源&#xff1a;猛兽财经 作者&#xff1a;猛兽财经 猛兽财经获悉&#xff0c;德国鞋履品牌【Birkenstock】近期已向美国证券交易委员会&#xff08;SEC&#xff09;提交招股书&#xff0c;申请在纳斯达克IPO上市&#xff0c;股票代码为&#xff08;BIRK&#xff09;,Birkens…
阅读更多...
Vue-1.9工程化开发和脚手架

Vue-1.9工程化开发和脚手架

开发Vue的两种方式&#xff1a; 1.核心包传统开发模式&#xff1a;基于html/css/js文件&#xff0c;直接引入核心包&#xff0c;开发Vue 2.工程化开发模式&#xff1a;基于构建工具&#xff08;例如&#xff1a;webpack&#xff09;的环境中开发Vue 问题&#xff1a; 1&…
阅读更多...
如何安装TortoiseSVN并实现公网提交文件至本地SVN服务器？

如何安装TortoiseSVN并实现公网提交文件至本地SVN服务器？

文章目录 前言1. TortoiseSVN 客户端下载安装2. 创建检出文件夹3. 创建与提交文件4. 公网访问测试 前言 TortoiseSVN是一个开源的版本控制系统&#xff0c;它与Apache Subversion&#xff08;SVN&#xff09;集成在一起&#xff0c;提供了一个用户友好的界面&#xff0c;方便用…
阅读更多...
设计模式16、中介者模式 Mediator

设计模式16、中介者模式 Mediator

解释说明&#xff1a;中介者模式&#xff08;Mediator Pattern&#xff09;用一个中介对象来封装一系列的对象交互 中介者使各对象不需要显式地相互引用&#xff0c;从而使其耦合松散&#xff0c;而且可以独立地改变它们之间的交互。 抽象中介者&#xff08;Mediator&#xff0…
阅读更多...
Kaadas凯迪仕助力亚运盛会，尽展品牌硬核科技与智能锁行业风采

Kaadas凯迪仕助力亚运盛会，尽展品牌硬核科技与智能锁行业风采

9月23日至10月8日&#xff0c;亚洲最大规模体育赛事亚运会在杭州举办。作为国际性体育赛事&#xff0c;除赛中的各类竞赛项目外&#xff0c;杭州亚运会前后相关活动也吸引了大众目光的聚焦。 Kaadas凯迪仕智能锁作为此次杭州亚运会官方指定智能门锁&#xff0c;以#凯迪仕守护每…
阅读更多...
IP真人识别方法与代理IP检测技术

IP真人识别方法与代理IP检测技术

随着互联网的发展&#xff0c;IP地址在网络安全和数据分析中扮演着重要的角色。为了维护网络的安全性和识别真实用户&#xff0c;IP地址的真实性和来源成为了一个关键问题。 什么是IP真人识别&#xff1f; IP真人识别是一种技术&#xff0c;旨在确定IP地址背后的用户是否为真实…
阅读更多...
深入理解RBAC

深入理解RBAC

RBAC是一种基于角色实现访问控制的权限管理机制&#xff0c;通过定义角色和权限、用户和角色、角色和角色之间的关系&#xff0c;实现多层次、细粒度、可复用的权限管理系统。原文: Role-based Access Control (RBAC) Model[1] Bernard HermantUnsplash Avery Pennarun写的&quo…
阅读更多...
XML文件详解 (java程序解析XML文件，java程序写XML文件)

XML文件详解 (java程序解析XML文件，java程序写XML文件)

XML 的全称是可扩展标记语言&#xff08;eXtensible Markup Language&#xff09; xml本质上是一种数据的格式&#xff0c;可以用来存储复杂的数据结构和数据关系。 使用XML&#xff08;可扩展标记语言&#xff09;有以下几个好处&#xff1a; 可读性强&#xff1a;XML使用标…
阅读更多...
微信小程序 获取当前屏幕的可见高宽度

微信小程序 获取当前屏幕的可见高宽度

很多时候我们做一下逻辑 需要用整个窗口的高度或宽度参与计算 而且很多时候我们js中拿到的单位都是px像素点 没办法和rpx同流合污 官方提供了wx.getSystemInfoSync() 可以获取到部分窗口信息 其中就包括了整个窗口的宽度和高度 wx.getSystemInfoSync().windowHeight 返回值为像…
阅读更多...
ElasticSearch 安装，保存，查询，更新，复杂查询，模糊查询，高亮查询

ElasticSearch 安装，保存，查询，更新，复杂查询，模糊查询，高亮查询

ElasticSearch ik分词器&#xff1a; ik分词器的安装&#xff0c;将ik分词器下载并解压&#xff0c;新建文件夹ik&#xff0c;将解压内容放进ik文件夹中&#xff0c;将ik文件夹放在es安装路径的plugin文件夹中 GET _analyze {"analyzer": "ik_smart",&q…
阅读更多...
C++对string进行大小写转换的三种方法

C++对string进行大小写转换的三种方法

C对string进行大小写转换的三种方法 方法一&#xff1a;下标 #include <iostream> #include <string> using namespace std;int main() {string s "ABCDEFG";for( int i 0; i < s.size(); i ){s[i] tolower(s[i]);}cout<<s<<endl;re…
阅读更多...
详细解说iptables 高阶用法，用来完成哪些高效率网络路由策略场景，iptables 实现域名过滤，Linux如何利用iptables屏蔽某些域名？

详细解说iptables 高阶用法，用来完成哪些高效率网络路由策略场景，iptables 实现域名过滤，Linux如何利用iptables屏蔽某些域名？

详细解说iptables 高阶用法，用来完成哪些高效率网络路由策略场景，iptables 实现域名过滤，Linux如何利用iptables屏蔽某些域名？ Linux利用iptables屏蔽某些域名 以下规则是屏蔽以 youtube.com 为主的所有一级 二级 三级等域名。 iptables -A OUTPUT -m string --string &qu…
阅读更多...
XLSX.utils.sheet_to_json()解析excel，给空的单元格赋值为空字符串

XLSX.utils.sheet_to_json()解析excel，给空的单元格赋值为空字符串

前言 今天用到XLSX来解析excel文件&#xff0c;调用XLSX.utils.sheet_to_json(worksheet)&#xff0c;发现如果单元格为空的话&#xff0c;解析出来的结果&#xff0c;就会缺少相应的key&#xff08;如图所示&#xff09;。但是我想要单元格为空的话&#xff0c;值就默认给空字…
阅读更多...
layui tree监控选中事件，同步选中和取消

layui tree监控选中事件，同步选中和取消

需求&#xff1a;需要分配权限时&#xff0c;要通过组织架构分配&#xff0c;也要通过角色分配&#xff0c;还是把选择的结果显示出来 结果如下图 代码分页面&#xff0c;类和SQL 页面&#xff1a; <% Page Language"C#" AutoEventWireup"true" Code…
阅读更多...
ElasticSearch搜索引擎： 内存分析与设置

ElasticSearch搜索引擎： 内存分析与设置

在 Elasticsearch 的运行过程中&#xff0c;如何合理分配与设置内存是一件十分重要的事情&#xff0c;否则十分容易出现各种问题。 一、Elasticsearch为什么吃内存&#xff1a; 我们先看下 ES 服务器的总体内存消耗情况&#xff1a; 对于Query Cache、Request Cache、Field…
阅读更多...
IT和OT 之间的教育鸿沟

IT和OT 之间的教育鸿沟

自动化行业正在大力倡导开放自动化系统&#xff0c;使更多IT技术能够导入传统的自动控制行业。并且提出让开放自动化系统消除IT和OT 之间的鸿沟。笔者看来&#xff0c;IT和OT 之间除了技术上的鸿沟之外&#xff0c;还存在着人才鸿沟。近年来&#xff0c;面向智能制造行业的软件…
阅读更多...
生物制药公司【Lexeo Therapeutics】申请1亿美元纳斯达克IPO上市

生物制药公司【Lexeo Therapeutics】申请1亿美元纳斯达克IPO上市

来源&#xff1a;猛兽财经 作者&#xff1a;猛兽财经 猛兽财经获悉&#xff0c;生物制药公司【Lexeo Therapeutics】近期已向美国证券交易委员会&#xff08;SEC&#xff09;提交招股书&#xff0c;申请在纳斯达克IPO上市&#xff0c;股票代码为(LXEO),Lexeo Therapeutics计划…
阅读更多...
万万没想到有一天居然可以在 Mac 上玩游戏，而且还是原神!

万万没想到有一天居然可以在 Mac 上玩游戏，而且还是原神!

万万没想到有一天居然可以在 Mac 上玩游戏&#xff0c;而且还是原神&#xff0c;我真的哭死~ 是这样的&#xff0c;我以前一直用 Mac 来办公也没想过要打游戏&#xff0c;在我心中 Mac 就是用来办公的&#xff0c;生产力工具&#xff0c;直到有一天我刷到一个视频&#xff0c;…
阅读更多...
开发餐饮类私域流量是开发应用APP还是小程序还是低代码跨平台APP分析他的利与弊

开发餐饮类私域流量是开发应用APP还是小程序还是低代码跨平台APP分析他的利与弊

在开发餐饮类应用程序时&#xff0c;我们需要先了解市场需求&#xff0c;定义目标受众&#xff0c;并提供独特的功能。个人感觉我们提供周围的在线订购、外卖服务、用户评价等功能&#xff0c;以吸引用户。同时&#xff0c;设计用户习惯的界面&#xff0c;使用户轻松选择自己的…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023