移动版论坛(500下载币)论坛帮助 微信公众号

天下网吧论坛

 找回密码
 注册账号

QQ登录

只需一步,快速开始

用微信登录

扫一扫,用微信登录

雷柏网咖键盘鼠标 网吧营销大师,让天下没有难开的网咖 免费网吧游戏告警系统
查看: 643|回复: 0
收起左侧

[经验分享] 学习参考JWT的应用:腾讯IMWeb使用 NodeJS 实现 JWT原理剖析

[复制链接]
发表于 2020-11-20 10:34:58 | 显示全部楼层 |阅读模式
天下网吧手机APP,你有我有全都有

终于等到您!马上注册登录,做有身份的人!

您需要 登录 才可以下载或查看,没有帐号?注册账号   扫一扫,用微信登录

x
jwt是json web token的简称,本文介绍它的原理,最后后端用nodejs自己实现如何为客户端生成令牌token和校验token
1.为什么需要会话管理
我们用nodejs为前端或者其他服务提供resful接口时,http协议他是一个无状态的协议,有时候我们需要根据这个请求的上下获取具体的用户是否有权限,针对用户的上下文进行操作。所以出现了cookies session还有jwt这几种技术的出现, 都是对HTTP协议的一个补充。使得我们可以用HTTP协议+状态管理构建一个的面向用户的WEB应用。
2.session和cookies
session和cookies是有联系的,session就是服务端在客户端cookies种下的session_id, 服务端保存session_id所对应的当前用户所有的状态信息。每次客户端请求服务端都带上cookies中的session_id, 服务端判断是否有具体的用户信息,如果没有就去调整登录。
cookies安全性不好,攻击者可以通过获取本地cookies进行欺骗或者利用cookies进行CSRF攻击。
cookies在多个域名下,会存在跨域问题
session的信息是保存在服务端上面的,当我们node.js在stke部署多台机器的时候,需要解决共享session,所以引出来session持久化问题,所以session不支持分布式架构,无法支持横向扩展,只能通过数据库来保存会话数据实现共享。如果持久层失败会出现认证失败。
3.jwt的定义
jwt是json web token的全称,他解决了session以上的问题,优点是服务器不保存任何会话数据,即服务器变为无状态,使其更容易扩展,什么情况下使用jwt比较合适,我觉得就是授权这个场景,因为jwt使用起来轻便,开销小,后端无状态,所以使用比较广泛。
4.jwt的原理
JWT 的原理是,服务器认证以后,生成一个 JSON 对象,发回给用户,就像下面这样。
{
  "姓名": "张三",
  "角色": "管理员",
  "到期时间": "2018年7月1日0点0分"
}

以后,用户与服务端通信的时候,都要发回这个 JSON 对象。服务器完全只靠这个对象认定用户身份。为了防止用户篡改数据,服务器在生成这个对象的时候,会加上签名。
5.jwt的认证流程流程说明:
浏览器发起请求登陆,携带用户名和密码;
服务端根据用户名和明码到数据库验证身份,根据算法,将用户标识符打包生成 token,
服务器返回JWT信息给浏览器,JWT不应该包含敏感信息,这是很重要的一点
浏览器发起请求获取用户资料,把刚刚拿到的 token一起发送给服务器,一般放在header里面,字段为authorization
服务器发现数据中有 token,decode token的信息,然后再次签名,验明正身;
服务器返回该用户的用户资料;
服务器可以在payload设置过期时间, 如果过期了,可以让客户端重新发起验证。
6.jwt的数据结构
jwt包含了使用.风格的三个部分
Header头部{ "alg": "HS256", "typ": "JWT"}   
// algorithm => HMAC SHA256
// type => JWT

这是固定的写法,alg表面要用的是HS256算法
Payload 负载、载荷,JWT 规定了7个官方字段
iss (issuer):签发人
exp (expiration time):过期时间
sub (subject):主题
aud (audience):受众
nbf (Not Before):生效时间
iat (Issued At):签发时间
jti (JWT ID):编号

除了这七个,可以自定义,比如过期时间
Signature 签名
对前两部分header和payload进行签名,防止数据篡改
HMACSHA256(
  base64UrlEncode(header) + "." +
  base64UrlEncode(payload),
  secret)

secret是一段字符串,后端保存,需要注意的是JWT 作为一个令牌(token),有些场合可能会放到 URL(比如 api.example.com/?token=xxx)。Base64 有三个字符+、/和=,在 URL 里面有特殊含义,所以要被替换掉:=被省略、+替换成-,/替换成_ 。这就是 Base64URL 算法。
7.jwt使用方式
HTTP 请求的头信息Authorization字段里面, Bearer也是规定好的
Authorization: Bearer <token>
通过url传输(不推荐)
http://www.xxx.com/pwa?token=xxxxx
如果是post请求也可以放在请求体中
8.在koa项目中使用
可以使用现成库,jwt-simple 或者 jsonwebtoken
  1. let Koa = require('koa');
  2. let Router = require('koa-router');
  3. let bodyparser = require('koa-bodyparser');
  4. let jwt = require('jwt-simple');
  5. let router = new Router()
  6. let app = new Koa();
  7. app.use(bodyparser());
  8. // 可以自己自定义
  9. let secret = 'zhenglei';
  10. // 验证是否登陆
  11. router.post('/login',async(ctx)=>{
  12.     let {username,password} = ctx.request.body;
  13.     if(username === 'admin' && password === 'admin'){
  14.        // 通常会查数据库,这里简单的演示
  15.        let token =  jwt.encode(username, secret);
  16.        ctx.body = {
  17.             code:200,
  18.             username,
  19.             token,
  20.        }
  21.     }
  22. });
  23. // 验证是否有权限
  24. router.get('/validate',async(ctx)=>{
  25.     let Authorization = ctx.get('authorization')
  26.     let [,token] = Authorization.split(' ');
  27.     if(token){
  28.         try{
  29.             let r = jwt.decode(token,secret);
  30.             ctx.body = {
  31.                 code:200,
  32.                 username:r,
  33.                 token
  34.             }
  35.         }catch(e){
  36.             ctx.body = {
  37.                 code:401,
  38.                 data:'没有登陆'
  39.             }
  40.         }
  41.     }else{
  42.         ctx.body = {
  43.             code:401,
  44.             data:'没有登陆'
  45.         }
  46.     }
  47.   
  48. });
  49. app.use(router.routes());
  50. app.listen(4000);
复制代码

实现两个接口 一个是/login 验证是否登录,一个是 validate,验证是否有权限
请求login接口的时候,客户端带username和password, 后端一般会查数据库,验证是否存在当前用户,如果存在则为username进行签名,千万不要给password这些敏感信息也带进来签名
客户端接收后端给的token令牌,再请求其他接口,比如这个例子的/validate的时候,ajax请求的时候,可以在header指定authorization字段,后端拿到token进行decode,然后将header和payload进行再一次的签名,如果前后的签名一致,说明没有被篡改过,则权限验证通过。因为是同步的过程,所以可以用try catch来捕捉错误
9.原理的实现
sha256哈希算法,可以用nodejs的内置加密模块crypto, 生成base64字符串,要注意的是生成base64需要为+ - = 做一下替换,=被省略、+替换成-,/替换成_ 。这就是 Base64URL 算法。
token令牌的组成是header, payload和sigin的通过.来组成
base64urlUnescape的解码是固定写法,decode出base64的内容
  1. let myJwt = {
  2.     sign(content,secret){
  3.         let r = crypto.createHmac('sha256',secret).update(content).digest('base64');
  4.         return this.base64urlEscape(r)
  5.     },
  6.     base64urlEscape(str){
  7.         return str.replace(/\+/g, '-').replace(/\//g, '_').replace(/=/g, '');
  8.     },
  9.     toBase64(content){
  10.         return this.base64urlEscape(Buffer.from(JSON.stringify(content)).toString('base64'))
  11.     },
  12.     encode(username,secret){
  13.         let header = this.toBase64({ typ: 'JWT', alg: 'HS256' });
  14.         let content = this.toBase64(username);
  15.         let sign = this.sign([header,content].join('.'),secret);
  16.         return  [header,content,sign].join('.')
  17.     },
  18.     base64urlUnescape(str) {
  19.         str += new Array(5 - str.length % 4).join('=');
  20.         return str.replace(/\-/g, '+').replace(/_/g, '/');
  21.     },
  22.     decode(token,secret){
  23.         let [header,content,sign] = token.split('.');
  24.         let newSign = this.sign([header,content].join('.'),secret);
  25.         if(sign === newSign){
  26.             return Buffer.from(this.base64urlUnescape(content),'base64').toString();
  27.         }else{
  28.             throw new Error('被篡改')
  29.         }
  30.     }
  31. }
复制代码

10.jwt的优缺点
JWT默认不加密,但可以加密。生成原始令牌后,可以使用改令牌再次对其进行加密。
当JWT未加密方法是,一些私密数据无法通过JWT传输。
JWT不仅可用于认证,还可用于信息交换。善用JWT有助于减少服务器请求数据库的次数。
JWT的最大缺点是服务器不保存会话状态,所以在使用期间不可能取消令牌或更改令牌的权限。也就是说,一旦JWT签发,在有效期内将会一直有效。
JWT本身包含认证信息,因此一旦信息泄露,任何人都可以获得令牌的所有权限。为了减少盗用,JWT的有效期不宜设置太长。对于某些重要操作,用户在使用时应该每次都进行进行身份验证。
为了减少盗用和窃取,JWT不建议使用HTTP协议来传输代码,而是使用加密的HTTPS协议进行传输。
本文来源:腾讯IMWeb团队
https://juejin.cn/post/6873700061000237069
公告 免责声明:本帖为论坛注册用户所发,所说的内容仅代表其个人观点,与天下网吧无关。相关下载资源为坛友自愿上传,相关资源仅供学习用途,勿用在任何商业用途,否则后果自负。与天下网吧无关,如果有侵犯到你的权益烦请来信告知,我们会处理,Email:[email protected](PS:请勿上传和讨论任何盗版,破解的内容)
本站启用全站实名发帖人工先审后发机制,发布后需要人工审核通过后方可展示,所以当你发现自己发的回复或者新主题没显示时不用着急。所以请勿发广告帖,非法帖和无意义的灌水帖,帖子中勿留联系方式,会被认为是广告封号! 坚持宁缺毋滥的原则100年不动摇。回复时请直接回复有用的信息,勿直接留联系方式,否则可能会被封号!
公告 欢迎大家推荐网吧和网咖行业好友加入天下网吧的大家庭,不设门槛完全免费,一起扩大+维护好网吧行业老铁们的最后一块净土。
公告本站帖子为发帖者自发发布,转载请注明来源天下网吧论坛。发帖请遵守相关法律法规!如果分享的软件中有广告,锁主页等行为,请在发帖时注明!!!
公告欢迎大家加入天下网吧QQ群:198018,注意要注明加群原因,否则我保证您进不了群!
公告PS:发求助帖前建议先 【论坛搜索】,那里可能会有你要找的答案;
公告如果求助帖,已经解决了,麻烦您回复下已经解决并分享方法,方便其他同行借鉴您的方法。天下网吧论坛116万会员对您的行为表示感谢!
公告下载币只能通过论坛发帖(尤其是网吧相关的好贴,精华帖),任务,免费获取。不支持任何方式充值,别再联系客服发红包了,没用的!认真回帖是对发帖者的一种尊重!希望大家理解!下载币策略是为了提升大家分享自己的好的网吧相关经验的积极性,如果你分享了你的经验,大家互相学习,我保证你下载币倍增。 免费获取下载币链接
公告本站为方便广大会员方便访问,特意开发了android/iphone版的手机APP下载和微信小程序,用手机访问更自在哦,点击进入下载>>

您需要登录后才可以回帖 登录 | 注册账号   扫一扫,用微信登录

本版积分规则

下载天下网吧手机APP,直接一键登录
您尚未登录,请登陆后浏览更精彩内容!
 注册账号
找回密码

手机版|纯文字版|联系我们|免责声明|网吧论坛 ( 渝ICP备20008032号-2 )|网站地图

GMT+8, 2020-11-29 14:55 , Processed in 0.140625 second(s), 21 queries , Gzip On, MemCache On.

Powered by Discuz! X3.4

Copyright © 2001-2020, Tencent Cloud.

快速回复 返回顶部 返回列表