Labs 导读
我们在做应用系统时避免不了用户的认证授权,说简单点就是:认证你是谁,授权你有什么权限。在这里先来谈谈用户的认证,目前常用的认证方式有两种:基于session认证、基于token认证。
Part 01、 JWT是什么?
JWT(JSON
Web Token)是一个开放的行业标准(RFC
7519),自身包含了身份验证所需要的所有信息,因此我们的服务器不需要存储用户Session信息。这显然增加了系统的可用性和伸缩性,大大减轻了服务端的压力。可以看出JWT更符合设计RESTful
API时的Stateless(无状态)原则。并且使用JWT认证可以有效避免CSRF攻击,因为JWT一般是存在在localStorage中,使用JWT进行身份验证的过程中是不会涉及到Cookie的。
Part 02、 JWT由哪些部分组成?
图片
JWT本质上是一组字串,通常是这样的:xxxxx.yyyyy.zzzzz,通过(.)切分成三个为Base64编码的部分:
- Header:描述JWT的元数据,定义了生成签名的算法以及Token的类型。
- Payload:用来存放实际需要传递的数据。
- Signature:服务器通过Payload、Header和一个密钥(Secret)
使用Header里面指定的签名算法(默认是 HMAC SHA256)生成。
示例:
图片
可以通过https://jwt.io对上述JWT进行解码,解码之后便可得到Header、Payload、Signature这三部分。Header和Payload都是JSON格式的数据,Signature由Payload、Header和Secret(密钥)通过特定的计算公式和加密算法得到。
图片
- Header
通常由两部分组成。
- typ(Type):令牌类型,也就是JWT
- alg(Algorithm):签名算法,比如HS256
示例:
图片
JSON形式的Header被转换成Base64编码,成为JWT的第一部。
- Payload
包含了三种类型的声明。
- Registered Claims(注册声明):预定义的一些声明,建议使用,但不强制。
- Public Claims(公有声明):JWT签发方可以自定义的声明。
- Private Claims(私有声明):JWT签发方因为项目需要而自定义的声明。
下面是一些常见的注册声明:
- iss(issuer):JWT 签发方。
- iat(issued at time):JWT签发时间。
- sub(subject):JWT主题。
- aud(audience):JWT接收方。
- exp(expiration time):JWT的过期时间。
- nbf(not before time):JWT生效时间,早于该定义的时间的JWT不能被接受处理。
- jti(JWT ID):JWT唯一标识。
示例:
图片
Payload部分默认是不加密的,一定不要将隐私信息存放在 Payload 当中!!!
JSON 形式的Payload被转换成Base64编码,成为JWT的第二部分。
- Signature
对前两部分的签名,作用是防止JWT(主要是payload)被篡改。签名的生成需要用到:Header+Payload、存放在服务端的密钥(一定不要泄露出去)、签名算法。签名的计算公式如下:
图片
算出签名以后,把 Header、Payload、Signature三个部分拼成一个字符串,每个部分之间用"点"(.)分隔,这个字符串就是JWT。
Part 03、 JWT如何进行用户认证?
在基于JWT进行身份验证的的应用程序中,服务器通过
Payload、Header和Secret(密钥)创建JWT并将JWT发送给客户端。客户端接收到JWT之后,会将其保存在Cookie或者localStorage里面,以后客户端发出的所有请求都会携带这个令牌。
图片
简化后的步骤如下:
1.用户向服务器发送用户名、密码以及验证码用于登陆系统。
2.如果用户用户名、密码以及验证码校验正确的话,服务端会返回已签名的Token,也就是JWT。
3.用户以后每次向后端发请求都在Header中带上这个JWT。
4.服务端检查JWT并从中获取用户相关信息。
两点建议:
1.建议将JWT存放在localStorage中,放在Cookie中会有CSRF风险。
2.请求服务端并携带JWT的常见做法是将其放在HTTP Header的Authorization字段中(Authorization:Bearer Token)
Part 04、 JWT如何防止被篡改?
服务器返回签名之后,即使JWT被泄露或者截获,黑客也没办法同时篡改Signature、Header、Payload。
这是为什么呢?因为服务端拿到JWT之后,会解析出其中包含的Header、Payload
以及Signature。服务端会根据Header、Payload、密钥再次生成一个Signature。拿新生成的Signature和JWT中的Signature作对比,如果一样就说明Header和Payload没有被修改。
不过,如果服务端的秘钥也被泄露的话,黑客就可以同时篡改Signature、Header、Payload了。黑客直接修改了Header和Payload之后,再重新生成一个Signature就可以了。
❖注意:密钥一定保管好,一定不要泄露出去。JWT安全的核心在于签名,签名安全的核心在密钥。
Part 05、 JWT如何加强安全性?
1.使用安全系数高的加密算法。
2.使用成熟的开源库,没必要造轮子。
3.JWT存放在localStorage中而不是Cookie中,避免CSRF风险。
4.一定不要将隐私信息存放在Payload当中。
5.密钥一定保管好,一定不要泄露出去。JWT安全的核心在于签名,签名安全的核心在密钥。
6.Payload要加入exp(JWT的过期时间),永久有效的JWT不合理。并且JWT的过期时间不易过长。
Part 06、 JWT有哪些优缺点?
- 优点
1.无状态:自身携带用户信息,不需要在服务器上保存session信息。
2.可有效避免CSRF攻击:CSRF攻击需要依赖Cookie,然而JWT选择存放在localStorage中,因此非法链接无法获取JWT。
- 缺点
1.不可控:就比如说,我们想要在JWT有效期内废弃一个JWT或者更改它的权限的话,并不会立即生效,通常需要等到有效期过后才可以。再比如说,当用户Logout的话,JWT也还有效。
Part 07、 JWT使用总结
在“约定优于配置,配置优于编码”的开发理念下,通过Apollo配置中心,程序员不需要每次更改线上配置都要重新发布服务,成功实现了将配置与编码解耦,为线上服务变更配置提供了解决方案。