您好,登錄后才能下訂單哦!
這篇文章主要介紹“使用NodeJS實(shí)現(xiàn)JWT原理是什么”,在日常操作中,相信很多人在使用NodeJS實(shí)現(xiàn)JWT原理是什么問(wèn)題上存在疑惑,小編查閱了各式資料,整理出簡(jiǎn)單好用的操作方法,希望對(duì)大家解答”使用NodeJS實(shí)現(xiàn)JWT原理是什么”的疑惑有所幫助!接下來(lái),請(qǐng)跟著小編一起來(lái)學(xué)習(xí)吧!
一 .為什么需要會(huì)話管理
我們用 nodejs 為前端或者其他服務(wù)提供 resful 接口時(shí),http 協(xié)議他是一個(gè)無(wú)狀態(tài)的協(xié)議,有時(shí)候我們需要根據(jù)這個(gè)請(qǐng)求的上下獲取具體的用戶是否有權(quán)限,針對(duì)用戶的上下文進(jìn)行操作。所以出現(xiàn)了cookies session還有jwt這幾種技術(shù)的出現(xiàn), 都是對(duì)HTTP協(xié)議的一個(gè)補(bǔ)充。使得我們可以用HTTP協(xié)議+狀態(tài)管理構(gòu)建一個(gè)的面向用戶的WEB應(yīng)用。
二 .Session 和 cookie
session 和 cookies 是有聯(lián)系的,session 就是服務(wù)端在客戶端 cookies 種下的session_id, 服務(wù)端保存session_id所對(duì)應(yīng)的當(dāng)前用戶所有的狀態(tài)信息。每次客戶端請(qǐng)求服務(wù)端都帶上cookies中的session_id, 服務(wù)端判斷是否有具體的用戶信息,如果沒(méi)有就去調(diào)整登錄。
cookies安全性不好,攻擊者可以通過(guò)獲取本地cookies進(jìn)行欺騙或者利用cookies進(jìn)行CSRF攻擊。
cookies在多個(gè)域名下,會(huì)存在跨域問(wèn)題
session的信息是保存在服務(wù)端上面的,當(dāng)我們node.js在stke部署多臺(tái)機(jī)器的時(shí)候,需要解決共享session,所以引出來(lái)session持久化問(wèn)題,所以session不支持分布式架構(gòu),無(wú)法支持橫向擴(kuò)展,只能通過(guò)數(shù)據(jù)庫(kù)來(lái)保存會(huì)話數(shù)據(jù)實(shí)現(xiàn)共享。如果持久層失敗會(huì)出現(xiàn)認(rèn)證失敗。
三 .JWT的定義
jwt是json web token的全稱,他解決了session以上的問(wèn)題,優(yōu)點(diǎn)是服務(wù)器不保存任何會(huì)話數(shù)據(jù),即服務(wù)器變?yōu)闊o(wú)狀態(tài),使其更容易擴(kuò)展,什么情況下使用jwt比較合適,我覺(jué)得就是授權(quán)這個(gè)場(chǎng)景,因?yàn)閖wt使用起來(lái)輕便,開(kāi)銷小,后端無(wú)狀態(tài),所以使用比較廣泛。
四 .JWT的原理
JWT 的原理是,服務(wù)器認(rèn)證以后,生成一個(gè) JSON 對(duì)象,發(fā)回給用戶,就像下面這樣。
{ "姓名": "張三", "角色": "管理員", "到期時(shí)間": "2018年7月1日0點(diǎn)0分" }
以后,用戶與服務(wù)端通信的時(shí)候,都要發(fā)回這個(gè) JSON 對(duì)象。服務(wù)器完全只靠這個(gè)對(duì)象認(rèn)定用戶身份。為了防止用戶篡改數(shù)據(jù),服務(wù)器在生成這個(gè)對(duì)象的時(shí)候,會(huì)加上簽名。
五 .JWT的認(rèn)證流程
JWT的流程說(shuō)明:
鴻蒙官方戰(zhàn)略合作共建——HarmonyOS技術(shù)社區(qū)
瀏覽器發(fā)起請(qǐng)求登陸,攜帶用戶名和密碼;
服務(wù)端根據(jù)用戶名和明碼到數(shù)據(jù)庫(kù)驗(yàn)證身份,根據(jù)算法,將用戶標(biāo)識(shí)符打包生成 token,
服務(wù)器返回JWT信息給瀏覽器,JWT不應(yīng)該包含敏感信息,這是很重要的一點(diǎn)
瀏覽器發(fā)起請(qǐng)求獲取用戶資料,把剛剛拿到的 token一起發(fā)送給服務(wù)器,一般放在header里面,字段為authorization
服務(wù)器發(fā)現(xiàn)數(shù)據(jù)中有 token,decode token的信息,然后再次簽名,驗(yàn)明正身;
服務(wù)器返回該用戶的用戶資料;
服務(wù)器可以在payload設(shè)置過(guò)期時(shí)間, 如果過(guò)期了,可以讓客戶端重新發(fā)起驗(yàn)證。
六 .JWT的數(shù)據(jù)結(jié)構(gòu)
JWT 包含了使用.風(fēng)格的三個(gè)部分,包含header(頭部)、Payload(荷載)以及 Signature(簽名)
Header 頭部
{"alg": "HS256","typ": "JWT"} // algorithm => HMAC SHA256// type => JWT
這是固定的寫(xiě)法,alg表面要用的是HS256算法
Payload 負(fù)載、載荷
JWT 規(guī)定了7個(gè)官方字段
iss (issuer):簽發(fā)人 exp (expiration time):過(guò)期時(shí)間 sub (subject):主題 aud (audience):受眾 nbf (Not Before):生效時(shí)間 iat (Issued At):簽發(fā)時(shí)間 jti (JWT ID):編號(hào)
除了這七個(gè),可以自定義,比如過(guò)期時(shí)間
Signature 簽名
對(duì)前兩部分header和payload進(jìn)行簽名,防止數(shù)據(jù)篡改
HMACSHA256( base64UrlEncode(header) + "." + base64UrlEncode(payload), secret)
secret是一段字符串,后端保存,需要注意的是 JWT 作為一個(gè)令牌 token,有些場(chǎng)合可能會(huì)放到 URL(比如 api.example.com/?token=xxx)。Base64 有三個(gè)字符+、/和=,在 URL 里面有特殊含義,所以要被替換掉:=被省略、+替換成-,/替換成_ 。這就是 Base64URL 算法。
七 .jwt使用方式
HTTP 請(qǐng)求的頭信息Authorization字段里面, Bearer也是規(guī)定好的
Authorization: Bearer <token>
通過(guò)url傳輸(不推薦)
http://www.xxx.com/pwa?token=xxxxx
如果是post請(qǐng)求也可以放在請(qǐng)求體中
八 .在koa項(xiàng)目中使用
可以使用現(xiàn)成庫(kù),jwt-simple 或者 jsonwebtoken
let Koa = require('koa'); let Router = require('koa-router'); let bodyparser = require('koa-bodyparser'); let jwt = require('jwt-simple'); let router = new Router() let app = new Koa(); app.use(bodyparser()); // 可以自己自定義 let secret = 'zhenglei'; // 驗(yàn)證是否登陸 router.post('/login',async(ctx)=>{ let {username,password} = ctx.request.body; if(username === 'admin' && password === 'admin'){ // 通常會(huì)查數(shù)據(jù)庫(kù),這里簡(jiǎn)單的演示 let token = jwt.encode(username, secret); ctx.body = { code:200, username, token, } } }); // 驗(yàn)證是否有權(quán)限 router.get('/validate',async(ctx)=>{ let Authorization = ctx.get('authorization') let [,token] = Authorization.split(' '); if(token){ try{ let r = jwt.decode(token,secret); ctx.body = { code:200, username:r, token } }catch(e){ ctx.body = { code:401, data:'沒(méi)有登陸' } } }else{ ctx.body = { code:401, data:'沒(méi)有登陸' } } }); app.use(router.routes()); app.listen(4000);
實(shí)現(xiàn)兩個(gè)接口 一個(gè)是/login 驗(yàn)證是否登錄,一個(gè)是 validate,驗(yàn)證是否有權(quán)限
請(qǐng)求login接口的時(shí)候,客戶端帶username和password, 后端一般會(huì)查數(shù)據(jù)庫(kù),驗(yàn)證是否存在當(dāng)前用戶,如果存在則為username進(jìn)行簽名,千萬(wàn)不要給password這些敏感信息也帶進(jìn)來(lái)簽名
客戶端接收后端給的token令牌,再請(qǐng)求其他接口,比如這個(gè)例子的/validate的時(shí)候,ajax請(qǐng)求的時(shí)候,可以在header指定authorization字段,后端拿到token進(jìn)行decode,然后將header和payload進(jìn)行再一次的簽名,如果前后的簽名一致,說(shuō)明沒(méi)有被篡改過(guò),則權(quán)限驗(yàn)證通過(guò)。因?yàn)槭峭降倪^(guò)程,所以可以用try catch來(lái)捕捉錯(cuò)誤
九 .原理的實(shí)現(xiàn)
sha256哈希算法,可以用nodejs的內(nèi)置加密模塊crypto, 生成base64字符串,要注意的是生成base64需要為+ - = 做一下替換,=被省略、+替換成-,/替換成_ 。這就是 Base64URL 算法。
token令牌的組成是header, payload和sigin的通過(guò).來(lái)組成
base64urlUnescape 的解碼是固定寫(xiě)法,decode出base64的內(nèi)容
let myJwt = { sign(content,secret){ let r = crypto.createHmac('sha256',secret).update(content).digest('base64'); return this.base64urlEscape(r) }, base64urlEscape(str){ return str.replace(/\+/g, '-').replace(/\//g, '_').replace(/=/g, ''); }, toBase64(content){ return this.base64urlEscape(Buffer.from(JSON.stringify(content)).toString('base64')) }, encode(username,secret){ let header = this.toBase64({ typ: 'JWT', alg: 'HS256' }); let content = this.toBase64(username); let sign = this.sign([header,content].join('.'),secret); return [header,content,sign].join('.') }, base64urlUnescape(str) { str += new Array(5 - str.length % 4).join('='); return str.replace(/\-/g, '+').replace(/_/g, '/'); }, decode(token,secret){ let [header,content,sign] = token.split('.'); let newSign = this.sign([header,content].join('.'),secret); if(sign === newSign){ return Buffer.from(this.base64urlUnescape(content),'base64').toString(); }else{ throw new Error('被篡改') } } }
十 .JWT的優(yōu)缺點(diǎn)
JWT默認(rèn)不加密,但可以加密。生成原始令牌后,可以使用改令牌再次對(duì)其進(jìn)行加密。
當(dāng)JWT未加密方法時(shí),一些私密數(shù)據(jù)無(wú)法通過(guò)JWT傳輸。
JWT不僅可用于認(rèn)證,還可用于信息交換。善用JWT有助于減少服務(wù)器請(qǐng)求數(shù)據(jù)庫(kù)的次數(shù)。
JWT的最大缺點(diǎn)是服務(wù)器不保存會(huì)話狀態(tài),所以在使用期間不可能取消令牌或更改令牌的權(quán)限。也就是說(shuō),一旦JWT簽發(fā),在有效期內(nèi)將會(huì)一直有效
JWT本身包含認(rèn)證信息,因此一旦信息泄露,任何人都可以獲得令牌的所有權(quán)限。為了減少盜用,JWT的有效期不宜設(shè)置太長(zhǎng)。對(duì)于某些重要操作,用戶在使用時(shí)應(yīng)該每次都進(jìn)行進(jìn)行身份驗(yàn)證。
為了減少盜用和竊取,JWT不建議使用HTTP協(xié)議來(lái)傳輸代碼,而是使用加密的HTTPS協(xié)議進(jìn)行傳輸。
到此,關(guān)于“使用NodeJS實(shí)現(xiàn)JWT原理是什么”的學(xué)習(xí)就結(jié)束了,希望能夠解決大家的疑惑。理論與實(shí)踐的搭配能更好的幫助大家學(xué)習(xí),快去試試吧!若想繼續(xù)學(xué)習(xí)更多相關(guān)知識(shí),請(qǐng)繼續(xù)關(guān)注億速云網(wǎng)站,小編會(huì)繼續(xù)努力為大家?guī)?lái)更多實(shí)用的文章!
免責(zé)聲明:本站發(fā)布的內(nèi)容(圖片、視頻和文字)以原創(chuàng)、轉(zhuǎn)載和分享為主,文章觀點(diǎn)不代表本網(wǎng)站立場(chǎng),如果涉及侵權(quán)請(qǐng)聯(lián)系站長(zhǎng)郵箱:is@yisu.com進(jìn)行舉報(bào),并提供相關(guān)證據(jù),一經(jīng)查實(shí),將立刻刪除涉嫌侵權(quán)內(nèi)容。