登录授权方案：JSON Web Tokens (JWT)

news2024/11/16 7:30:04

登录授权方案：JSON Web Tokens (JWT)

JWT官方文档：https://jwt.io/introduction

1.简介：

JWT 即 json web tokens，通过JSON形式作为Web应用中的令牌，用于在各方之间安全地将信息作为JSON对象传输，在数据传输过程中还可以完成数据加密、签名等相关处理。可用于登录授权或者其他服务之前的信息交换；JWT本质就是一个字符串，它是一个开放标准（rfc7519），定义了一种紧凑的、自包含的方式；它是无状态的，去中心化的；

2.JWT校验流程：

在这里插入图片描述

1.前端输入账号密码后，请求授权服务；
2.授权服务返回对应的token，前端保存在 localStorage；
3.每次请求，前端在请求头中携带token与业务接口进行交互，业务接口根据加密规则进行校验，获取token中的信息；

因此，jwt是无状态的，并且具有去中心化的特性，后端每次只根据规则去校验token，不用每次都去请求数据库/redis，减少了token校验的查询这一层；

3.JWT的组成结构

由三部分组成，这些部分由 . 分隔，分别是：

Header
Payload
Signature

由这三部分拼接为： Header.Payload.Signature 的形式

3.1 关于header

Header 部分是一个 JSON 对象，描述 JWT 的元数据，通常是下面的样子：

{
    "alg": "HS256",
    "typ": "JWT"
}

alg属性表示签名的算法（algorithm），默认是 HMAC SHA256（写成 HS256）；
typ属性表示这个令牌（token）的类型（type），JWT 令牌统一写为JWT

Header会被Base64Url编码为JWT的第一部分,即：

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9

3.2 关于Payload

Payload 部分也是一个 JSON 对象，用来存放实际需要传递的数据，它包含三部分：

JWT 提供了7个官方字段，可选用：

iss (issuer)：签发人
exp (expiration time)：过期时间
sub (subject)：主题
aud (audience)：JWT接收者
nbf (Not Before)：生效时间
iat (Issued At)：签发时间
jti (JWT ID)：编号

除了官方字段，你还可以在这个部分定义私有字段，如：

{
  "uid": 10, 
  "username": "test", 
  "scopes": [ "admin", "user" ] 
}

我们挑选官方的 iat，exp，再加上我们的自定义字段，如下：

{ "iat": 1593955943, 
  "exp": 1593955973, 
  "uid": 10, 
  "username": "test", 
  "scopes": [ "admin", "user" ] 
}

Payload会被Base64Url编码为JWT的第二部分，即：

eyJ1c2VybmFtZSI6InRlc3QiLCJpYXQiOjE1OTM5NTU5NDMsInVpZCI6MTAsImV4cCI6MTU5Mzk1NTk3Mywic2NvcGVzIjpbImFkbWluIiwidXNlciJdfQ

3.3 关于Signature

Signature 部分是对前两部分的签名，防止数据篡改。

首先，需要指定一个密钥（secret）。这个密钥只有服务器才知道，不能泄露给别人。然后，使用 Header 里面指定的签名算法（默认是 HMAC SHA256），按照下面的公式进行签名：

HMACSHA256(
  base64UrlEncode(header) + "." +
  base64UrlEncode(payload),
  secret)

算出签名后，把 Header、Payload、Signature 三个部分拼成一个字符串，每个部分之间用 . 分隔，就可以返回给用户，样式如下：

“eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1c2VybmFtZSI6InRlc3QiLCJpYXQiOjE1OTM5NTU5NDMsInVpZCI6MTAsImV4cCI6MTU5Mzk1NTk3Mywic2NvcGVzIjpbImFkbWluIiwidXNlciJdfQ.VHpxmxKVKpsn2Iytqc_6Z1U1NtiX3EgVki4PmA-J3Pg”