JWT實現授權認證

来源:https://www.cnblogs.com/Hollson/archive/2020/01/08/12169210.html
-Advertisement-
Play Games

[toc] 一. JWT是什麼 "JSON Web Token" （JWT）是目前最流行的跨域身份驗證解決方案。 簡單說，OAuth 就是一種授權機制。數據的所有者告訴系統，同意授權第三方應用進入系統，獲取這些數據。系統從而產生一個短期的進入令(token)，用來代替密碼，供第三方應用使用。 。 傳 ...


目錄


一. JWT是什麼

JSON Web Token（JWT）是目前最流行的跨域身份驗證解決方案。簡單說，OAuth 就是一種授權機制。數據的所有者告訴系統，同意授權第三方應用進入系統，獲取這些數據。系統從而產生一個短期的進入令(token)，用來代替密碼，供第三方應用使用。。

傳統的授權認證方式，需要持久化session數據，寫入資料庫或文件持久層等，且授權校驗依賴於數據持久層。 這樣的方式，對於結構維護成本大，實現單點登錄較為複雜，且沒有分散式架構，無法支持橫向擴展，風險較大(如果持久層失敗，整個認證體系都會掛掉)。

JWT則無須持久化會話數據，是以加密簽名的方式實現了用戶身份認證授權，很好的解決了跨域身份驗證，分散式session共用、單點登錄和橫向擴展等問題。


二. JWT標準規範

JWT由三部分組成，即頭部、負載與簽名。Token格式為 token=頭部+'.'+載荷+'.'+簽名。

{"token":"eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJleHAiOjE1Nzg0MDQ5OTUsImlhdCI6MTU3ODQwMTM5NX0.waG8rvOZLM2pKDeKg7frMKlV8lAty1Og5LDjrVMJRsI"}

1. Header： 用於說明簽名的加密演算法等，下麵類型的json經過base64編碼後得到JWT頭部。

{
  "typ": "JWT",
  "alg": "HS256"
}

2. Payload： 標准定義了7個欄位，載荷json經過base64編碼後得到JWT的載荷。

{
  iss (issuer)：簽發人
  exp (expiration time)：過期時間
  sub (subject)：主題
  aud (audience)：受眾
  nbf (Not Before)：生效時間
  iat (Issued At)：簽發時間
  jti (JWT ID)：編號
}

示例：

{
    "sub": "1",
    "iss": "http://localhost:8000/user/sign_up",
    "iat": 1451888119,
    "exp": 1454516119,
    "nbf": 1451888119,
    "jti": "37c107e4609ddbcc9c096ea5ee76c667"
}

3.Signature： 將頭部和載荷用'.'號連接，再加上一串密鑰，經過頭部聲明的加密演算法加密後得到簽名。

HMACSHA256(
    base64UrlEncode(header) + "." +
    base64UrlEncode(payload),
    secret
)


三. 核心代碼簡析

1. 數據結構

// A JWT Token.  Different fields will be used depending on whether you're
// creating or parsing/verifying a token.
type Token struct {
   Raw       string                 // The raw token.  Populated when you Parse a token
   Method    SigningMethod          // The signing method used or to be used
   Header    map[string]interface{} // （頭部）The first segment of the token
   Claims    Claims                 // （負載）The second segment of the token
   Signature string                 // （簽名）The third segment of the token.  Populated when you Parse a token
   Valid     bool                   // Is the token valid?  Populated when you Parse/Verify a token
}
// Structured version of Claims Section, as referenced at
// https://tools.ietf.org/html/rfc7519#section-4.1
// See examples for how to use this with your own claim types
type StandardClaims struct {
   Id        string `json:"jti,omitempty"`  //編號
   Subject   string `json:"sub,omitempty"`  //主題
   Issuer    string `json:"iss,omitempty"`  //簽發人
   Audience  string `json:"aud,omitempty"`  //受眾
   ExpiresAt int64  `json:"exp,omitempty"`  //過期時間
   IssuedAt  int64  `json:"iat,omitempty"` //簽發時間
   NotBefore int64  `json:"nbf,omitempty"`  //生效時間
}

2. 生成Token

var(
   key []byte = []byte("This is secret!")
)
// 產生json web token
func GenToken() string {
   claims := &jwt.StandardClaims{
      NotBefore: int64(time.Now().Unix()),
      ExpiresAt: int64(time.Now().Unix() + 1000),
      Issuer:    "Bitch",
   }

   token := jwt.NewWithClaims(jwt.SigningMethodHS256, claims)
   ss, err := token.SignedString(key)
   if err != nil {
      logs.Error(err)
      return ""
   }
   return ss
}

3. 校驗Token

// 校驗token是否有效
func CheckToken(token string) bool {
   _, err := jwt.Parse(token, func(*jwt.Token) (interface{}, error) {
      return key, nil
   })
   if err != nil {
      fmt.Println("parase with claims failed.", err)
      return false
   }
   return true
}


四. 登錄授權示例

handler/auth.go

package handler

import (
   "fmt"
   "github.com/dgrijalva/jwt-go"
   "github.com/dgrijalva/jwt-go/request"
   "net/http"
)

const (
   SecretKey = "ODcyNDYsIMzY0N"
)

func ValidateTokenMiddleware(w http.ResponseWriter, r *http.Request, next http.HandlerFunc) {
   token, err := request.ParseFromRequest(r, request.AuthorizationHeaderExtractor,
      func(token *jwt.Token) (interface{}, error) {
         return []byte(SecretKey), nil
      })

   if err == nil {
      if token.Valid {
         next(w, r)
      } else {
         w.WriteHeader(http.StatusUnauthorized)
         fmt.Fprint(w, "Token is not valid")
      }
   } else {
      w.WriteHeader(http.StatusUnauthorized)
      fmt.Fprint(w, "Unauthorized access to this resource")
   }
}

handler/account.go

package handler

import (
   "encoding/json"
   "fmt"
   "github.com/dgrijalva/jwt-go"
   "log"
   "net/http"
   "strings"
   "time"
)

func fatal(err error) {
   if err != nil {
      log.Fatal(err)
   }
}

type UserCredentials struct {
   Username string `json:"username"`
   Password string `json:"password"`
}

type User struct {
   ID       int    `json:"id"`
   Name     string `json:"name"`
   Username string `json:"username"`
   Password string `json:"password"`
}

type Response struct {
   Data string `json:"data"`
}

type Token struct {
   Token string `json:"token"`
}

func LoginHandler(w http.ResponseWriter, r *http.Request) {
   var user UserCredentials
   err := json.NewDecoder(r.Body).Decode(&user)
   if err != nil {
      w.WriteHeader(http.StatusForbidden)
      fmt.Fprint(w, "Error in request")
      return
   }

   if strings.ToLower(user.Username) != "admin" {
      if user.Password != "123456" {
         w.WriteHeader(http.StatusForbidden)
         fmt.Fprint(w, "Invalid credentials")
         return
      }
   }

   // 創建Token
   token := jwt.New(jwt.SigningMethodHS256)
   claims := make(jwt.MapClaims)
   claims["exp"] = time.Now().Add(time.Hour * time.Duration(1)).Unix()
   claims["iat"] = time.Now().Unix()
   token.Claims = claims

   //if err != nil {
   // w.WriteHeader(http.StatusInternalServerError)
   // fmt.Fprintln(w, "Error extracting the key")
   // fatal(err)
   //}

   tokenString, err := token.SignedString([]byte(SecretKey))
   if err != nil {
      w.WriteHeader(http.StatusInternalServerError)
      fmt.Fprintln(w, "Error while signing the token")
      fatal(err)
   }

   response := Token{tokenString}
   JsonResponse(response, w)
}

func FundHandler(w http.ResponseWriter, r *http.Request) {
   response := Response{"賬戶餘額：1000W"}
   JsonResponse(response, w)
}

func JsonResponse(response interface{}, w http.ResponseWriter) {
   obj, err := json.Marshal(response)
   if err != nil {
      http.Error(w, err.Error(), http.StatusInternalServerError)
      return
   }

   w.WriteHeader(http.StatusOK)
   w.Header().Set("Content-Type", "application/json")
   w.Write(obj)
}

main.go

import (
   "github.com/codegangsta/negroni"
   "log"
   "net/http"
   "proxy/handler"
)

func Server() {
   http.HandleFunc("/login", handler.LoginHandler)

   http.Handle("/data", negroni.New(
      negroni.HandlerFunc(handler.ValidateTokenMiddleware), //中間件
      negroni.Wrap(http.HandlerFunc(handler.FundHandler)),
   ))

   log.Println("服務已啟動...")
   http.ListenAndServe(":8080", nil)
}

func main() {
   Server()
}


五. JWT 使用方式

客戶端收到伺服器返回的 JWT，可以儲存在 Cookie 裡面，也可以儲存在 localStorage。

此後，客戶端每次與伺服器通信，都要帶上這個 JWT。你可以把它放在 Cookie 裡面自動發送，但是這樣不能跨域。所以更好的做法是放在HTTP請求的頭信息Authorization欄位裡面（或放在POST 請求的數據體裡面）。

Authorization: Bearer <token>


六. JWT註意事項

  1. JWT預設不加密，但可以加密。生成原始令牌後，可以使用改令牌再次對其進行加密。
  2. JWT不僅可用於認證，還可用於信息交換。善用JWT有助於減少伺服器請求資料庫的次數。
  3. JWT的最大缺點是伺服器不保存會話狀態，一旦JWT簽發，在有效期內將會一直有效。
  4. JWT的有效期不宜設置太長，認證信息，因此一旦信息泄露，任何人都可以獲得令牌的所有許可權。
  5. 為了減少JWT數據盜用和竊取的風險，JWT建議使用加密的HTTPS協議進行傳輸。




參考：
http://www.ruanyifeng.com/blog/2019/04/oauth_design.html 關於OAuth2.0
https://blog.csdn.net/wangshubo1989/article/details/74529333
https://blog.csdn.net/idwtwt/article/details/80865209
https://baijiahao.baidu.com/s?id=1608021814182894637&wfr=spider&for=pc
http://www.ruanyifeng.com/blog/2018/07/json_web_token-tutorial.html


您的分享是我們最大的動力!

-Advertisement-
Play Games
更多相關文章
  • 長鏈生成短鏈的思考
    一些業務場景，比如說簡訊、push需要帶上跳轉鏈接，這個時候就需要把長鏈轉換為短鏈 長鏈如何轉短鏈？其實長鏈和生成短鏈的過程是沒有任何關係的，唯一的聯繫就是生成以後做關聯 1：短鏈生成 結合實際工作中以及網上，大概兩種比較常規的方式，預設生成六位短鏈 方式一：通過移位+簡單的演算法生成一個隨機數 第一 ...
  • CDC+ETL實現數據集成方案
    數據集成有兩種方案： 一種是通過ESB介面方式進行數據集成，優點是數據的時效性高，但最大的弊端是依賴於業務系統的介面改造，往往會涉及和廠商的介面費用。另一種方式就是通過ETL方式抽取數據，並通過CDC方式實現數據實時同步，優點是不依賴於業務系統，只需要獲取業務系統資料庫許可權便可實現集成。 ...
  • 架構師，怎樣才能搞定上下游客戶？
    架構師，在開展工作的過程中需要對接老闆、產品、項目、開發、測試、安全和運營等各種崗位角色，他們都是架構需要關註和服務的內部客戶，他們的痛點就是架構工作的驅動因素。架構師就是要用專業技能“搞定”這些角色的需求，輸出大家都能接受的解決方案，大家好才是真正的好。為了達成此目的，我們必須知道不同崗位的關註點... ...
  • spring cloud微服務快速教程之（六） 應用監控 spring boot admin
    0-前言 當我們發佈了微服務後，我們希望對各個應用的各個運行狀況進行一個監控；這個時候spring boot admin，就出場了； spring boot admin：是一個監控和管理spring boot 應用的開源監控組件， 它能夠對Actuator 中的信息進行界面化的展示，也可以監控所有 ...
  • JFrame的面板結構和JPanel的使用
    JFrame圖解結構 有一視窗框架實例：JFrame win = new JFrame("視窗");在new JFrame()時，構建了JFrame實例對象，在實例中的Layered Pane層面版中，也預設構建了一個JPanel控制項面板。 使用 win.getContentPane( ); 是獲取 ...
  • Python爬蟲連載1-urllib.request和chardet包使用方式
    一、參考資料 1.《Python網路數據採集》圖靈工業出版社 2.《精通Python爬蟲框架Scrapy》人民郵電出版社 3.[Scrapy官方教程](http://scrapy-chs.readthedocs.io/zh_CN/0.24/intro/tutorial.html) 4.[Python ...
  • JSP頁面中<%!%>與<%%>與<%=%>
    1.<% %>叫做腳本片段，其中寫的內容會翻譯在Servlet的Service方法中，顯然我們可以在Service方法中定義局部變數或者調用其他方法，但是不能 在Service中再定義其他的方法，也就是我們可以在<%%>中定義局部變數或者調用方法，但不能定義方法。在jsp頁面可以有多個腳本片段，但是 ...
  • logrus日誌框架
    [toc] logrus介紹 golang標準庫的日誌框架非常簡單，僅僅提供了print，panic和fatal三個函數。對於更精細的日誌級別、日誌文件分割，以及日誌分發等方面，並沒有提供支持。在golang的世界，流行的日誌框架包括logrus、zap、zerolog、seelog等。 logru ...
一周排行
    -Advertisement-
    Play Games
  • 移動開發（一）：使用.NET MAUI開發第一個安卓APP
    移動開發（一）：使用.NET MAUI開發第一個安卓APP 對於工作多年的C#程式員來說，近來想嘗試開發一款安卓APP，考慮了很久最終選擇使用.NET MAUI這個微軟官方的框架來嘗試體驗開發安卓APP，畢竟是使用Visual Studio開發工具，使用起來也比較的順手，結合微軟官方的教程進行了安卓 ...
  • wpf ToggleButton選中效果和一個登錄界面
    前言 QuestPDF 是一個開源 .NET 庫，用於生成 PDF 文檔。使用了C# Fluent API方式可簡化開發、減少錯誤並提高工作效率。利用它可以輕鬆生成 PDF 報告、發票、導出文件等。 項目介紹 QuestPDF 是一個革命性的開源 .NET 庫，它徹底改變了我們生成 PDF 文檔的方 ...
  • 彈幕樹洞項目功能新增篇
    項目地址 項目後端地址： https://github.com/ZyPLJ/ZYTteeHole 項目前端頁面地址： ZyPLJ/TreeHoleVue (github.com) https://github.com/ZyPLJ/TreeHoleVue 目前項目測試訪問地址： http://tree ...
  • 第27篇 sqlserver2022詳細安裝步驟
    話不多說，直接開乾 一.下載 1.官方鏈接下載： https://www.microsoft.com/zh-cn/sql-server/sql-server-downloads 2.在下載目錄中找到下麵這個小的安裝包 SQL2022-SSEI-Dev.exe，運行開始下載SQL server； 二. ...
  • .NET 開源高性能 MQTT 類庫
    前言 隨著物聯網（IoT）技術的迅猛發展，MQTT（消息隊列遙測傳輸）協議憑藉其輕量級和高效性，已成為眾多物聯網應用的首選通信標準。 MQTTnet 作為一個高性能的 .NET 開源庫，為 .NET 平臺上的 MQTT 客戶端與伺服器開發提供了強大的支持。 本文將全面介紹 MQTTnet 的核心功能 ...
  • Serilog文檔翻譯系列（六） - 可用的接收器、增強器、格式化輸出
    Serilog支持多種接收器用於日誌存儲，增強器用於添加屬性，LogContext管理動態屬性，支持多種輸出格式包括純文本、JSON及ExpressionTemplate。還提供了自定義格式化選項，適用於不同需求。 ...
  • 警惕 Visual Studio 屬性求值副作用導致邏輯不符合預期
    目錄簡介獲取 HTML 文檔解析 HTML 文檔測試參考文章 簡介 動態內容網站使用 JavaScript 腳本動態檢索和渲染數據，爬取信息時需要模擬瀏覽器行為，否則獲取到的源碼基本是空的。 本文使用的爬取步驟如下： 使用 Selenium 獲取渲染後的 HTML 文檔 使用 HtmlAgility ...
  • [使用目前最新版]HybridCLR6.9.0+YooAsset2.2.4實現純C# Unity熱更新方案 (一)
    1.前言 什麼是熱更新 游戲或者軟體更新時，無需重新下載客戶端進行安裝，而是在應用程式啟動的情況下，在內部進行資源或者代碼更新 Unity目前常用熱更新解決方案 HybridCLR，Xlua，ILRuntime等 Unity目前常用資源管理解決方案 AssetBundles，Addressable， ...
  • 在 ASP.NET Core Web API 中使用操作篩選器統一處理通用操作
    本文章主要是在C# ASP.NET Core Web API框架實現向手機發送驗證碼簡訊功能。這裡我選擇是一個互億無線簡訊驗證碼平臺，其實像阿裡雲，騰訊雲上面也可以。 首先我們先去 互億無線 https://www.ihuyi.com/api/sms.html 去註冊一個賬號 註冊完成賬號後，它會送 ...
  • 第28篇 如何.net中實現高效可靠數據同步api
    通過以下方式可以高效，並保證數據同步的可靠性 1.API設計 使用RESTful設計，確保API端點明確，並使用適當的HTTP方法（如POST用於創建，PUT用於更新）。 設計清晰的請求和響應模型，以確保客戶端能夠理解預期格式。 2.數據驗證 在伺服器端進行嚴格的數據驗證，確保接收到的數據符合預期格 ...
所有分類