了解登录中的JWT

Scott 发布于2019-08-16 17:16 / 2571人阅读

摘要：一旦用户登录，后续每个请求都将包含，允许用户访问该令牌允许的路由服务和资源。单点登录是现在广泛使用的的一个特性，因为它的开销很小，并且可以轻松地跨域使用。用于在同意使用它们的各方之间共享信息，并且不是注册的或公开的声明。

1.JSON Web Token是什么

JSON Web Token (JWT)是一个开放标准(RFC 7519)，它定义了一种紧凑的、自包含的方式，用于作为JSON对象在各方之间安全地传输信息。该信息可以被验证和信任，因为它是数字签名的。

2.JSON Web Token有什么用

下列场景中使用JSON Web Token是很有用的：

Authorization (授权) : 这是使用JWT的最常见场景。一旦用户登录，后续每个请求都将包含JWT，允许用户访问该令牌允许的路由、服务和资源。单点登录是现在广泛使用的JWT的一个特性，因为它的开销很小，并且可以轻松地跨域使用。
Information Exchange (信息交换) : 对于安全的在各方之间传输信息而言，JSON Web Tokens无疑是一种很好的方式。因为JWTs可以被签名，例如，用公钥/私钥对，你可以确定发送人就是它们所说的那个人。另外，由于签名是使用头和有效负载计算的，您还可以验证内容没有被篡改。

3.JSON Web Token是什么样的

JSON Web Token由三部分组成，它们之间用圆点(.)连接。这三部分分别是：

Header
Payload
Signature

因此，一个典型的JWT看起来是这个样子的：

xxxxx.yyyyy.zzzzz

Header
header典型的由两部分组成：token的类型（“JWT”）和算法名称（比如：HMAC SHA256或者RSA等等）。
例如：
然后，用Base64对这个JSON编码就得到JWT的第一部分

Payload
JWT的第二部分是payload，它包含声明（要求）。声明是关于实体(通常是用户)和其他数据的声明。声明有三种类型: registered, public 和 private。

Registered claims : 这里有一组预定义的声明，它们不是强制的，但是推荐。比如：iss (issuer), exp (expiration time), sub (subject), aud (audience)等。
Public claims : 可以随意定义。
Private claims : 用于在同意使用它们的各方之间共享信息，并且不是注册的或公开的声明。

对payload进行Base64编码就得到JWT的第二部分

注意，不要在JWT的payload或header中放置敏感信息，除非它们是加密的。

Signature
为了得到签名部分，你必须有编码过的header、编码过的payload、一个秘钥，签名算法是header中指定的那个，然对它们签名即可。
例如：

HMACSHA256(base64UrlEncode(header) + "." + base64UrlEncode(payload), secret)

签名是用于验证消息在传递过程中有没有被更改，并且，对于使用私钥签名的token，它还可以验证JWT的发送方是否为它所称的发送方。

典型模块如下：

// Header
{
"alg": "HS256",
"typ": "JWT"
}
 
 
// Payload
{
// reserved claims
"sub": "1234567890",
"name": "John Doe",
"iat": "1516239022"
}
 
 
// $Signature
HS256(Base64(Header) + "." + Base64(Payload), "自定义密钥kyey" )
 
 
// JWT
JWT = Base64(Header) + "." + Base64(Payload) + "." + $Signature

4.具体实现

public static String createJWT(Object subject, long ttlMillis) {
    //设置签名算法为HS256
    SignatureAlgorithm signatureAlgorithm = SignatureAlgorithm.HS256;
    long nowMillis = System.currentTimeMillis();
    Date now = new Date(nowMillis);
    JwtBuilder builder = Jwts.builder().setId("jwt").setIssuedAt(now).setSubject(JSONObject.toJSONString(subject)).signWith(signatureAlgorithm, secretKey);
    //设置过期时间
    if (ttlMillis >= 0L) {
        long expMillis = nowMillis + ttlMillis;
        Date exp = new Date(expMillis);
        builder.setExpiration(exp);
    }
    //生成jwt
    return builder.compact();
}

具体compact()方法即根据传入的参数进行处理最终得到jwt的字符串

eyJhbGci**I1NiJ9.eyJqdGkiOiJqd3QiL**DY2NTMxOH0.x9fNW**2fe4ht

文章版权归作者所有，未经允许请勿转载,若此文章存在违规行为，您可以联系管理员删除。

转载请注明本文地址：https://www.ucloud.cn/yun/74494.html

使用JWT(Json Web Token)实现登录认证

摘要：今天我们来结合实例给大家讲述的实战应用，就是如何使用前端与后端实现用户登录鉴权认证的过程。只用了一个串，建立前后端的验证的数据传递，实现了有效的登录鉴权过程。今天我们来结合实例给大家讲述JWT(Json Web Token)的实战应用，就是如何使用前端Axios与后端PHP实现用户登录鉴权认证的过程。文中涉及的重要知识点： axios异步请求：axios-基于Promise的HTT...

Yu_Huang 2019-06-28 18:34 评论0 收藏0
songEagle开发系列:Vue + Vuex + Koa 中使用JWT认证

摘要：一前言，是为了在网络环境间传递声明而执行的一种基于的开放标准。用户签发添加中间件校验判断是否可用获取解密，获取用户名和认证失败中添加处理此处在开发时需要过滤掉登录接口，否则会导致验证永远失败。前端处理前端开发使用的是，发送请求使用的是。一、前言 JWT(JSON Web Token)，是为了在网络环境间传递声明而执行的一种基于JSON的开放标准（RFC 7519）。 JWT不是一个新...

suosuopuo 2019-08-23 13:40 评论0 收藏0
说一说几种登录认证方式，你用的哪一种

摘要：登录认证几乎是任何一个系统的标配，系统客户端等，好多都需要注册登录授权认证。假设我们开发了一个电商平台，并集成了微信登录，以这个场景为例，说一下的工作原理。微信网页授权是授权码模式的授权模式。登录认证几乎是任何一个系统的标配，web 系统、APP、PC 客户端等，好多都需要注册、登录、授权认证。场景说明以一个电商系统，假设淘宝为例，如果我们想要下单，首先需要注册一个账号。拥有了账...

idealcn 2019-08-15 13:58 评论0 收藏0