JWT解析及安全问题
目录
- JWT简介
- 传统的Session认证
- 基于token的鉴权机制
- JWT的构成
- 头部(header)
- 载荷(payload)
- 签证(signature)
- 通过JWT 进行认证
- JWT安全问题
JWT简介
Json web token (JWT),是为了在网络应用环境间传递声明而执行的一种基于JSON的开放标准((RFC 7519)。
该token被设计为紧凑且安全的,特别适用于分布式站点的单点登录(SSO)场景。
JWT的声明一般被用来在身份提供者和服务提供者间传递被认证的用户身份信息,以便于从资源服务器获取资源,也可以增加一些额外的其它业务逻辑所必须的声明信息,该token也可直接被用于认证,也可被加密。
说起JWT,我们应该来谈一谈基于token的认证和传统的session认证的区别。
传统的Session认证
我们知道,http协议本身是一种无状态的协议,而这就意味着如果用户向我们的应用提供了用户名和密码来进行用户认证,那么下一次请求时,用户还要再一次进行用户认证才行,因为根据http协议,我们并不能知道是哪个用户发出的请求,所以为了让我们的应用能识别是哪个用户发出的请求,我们只能在服务器存储一份用户登录的信息,这份登录信息会在响应时传递给浏览器,告诉其保存为cookie,以便下次请求时发送给我们的应用,这样我们的应用就能识别请求来自哪个用户了,这就是传统的基于session认证。
但是这种基于session的认证使应用本身很难得到扩展,随着不同客户端用户的增加,独立的服务器已无法承载更多的用户,而这时候基于session认证应用的问题就会暴露出来:
- Session:每个用户经过我们的应用认证之后,我们的应用都要在服务端做一次记录,以方便用户下次请求的鉴别,通常而言session都是保存在内存中,而随着认证用户的增多,服务端的开销会明显增大。
- 扩展性:用户认证之后,服务端做认证记录,如果认证的记录被保存在内存中的话,这意味着用户下次请求还必须要请求在这台服务器上,这样才能拿到授权的资源,这样在分布式的应用上,相应的限制了负载均衡器的能力。这也意味着限制了应用的扩展能力。
- CSRF: 因为是 基于cookie 来进行用户识别的,cookie如果被截获,用户就会很容易受到跨站请求伪造的攻击。
基于token的鉴权机制
基于token的鉴权机制类似于http协议也是无状态的,它不需要在服务端去保留用户的认证信息或者会话信息。这就意味着基于token认证机制的应用不需要去考虑用户在哪一台服务器登录了,这就为应用的扩展提供了便利。
流程上是这样的:
- 用户使用用户名密码来请求服务器
- 服务器进行验证用户的信息
- 服务器通过验证发送给用户一个token
- 客户端存储token,并在每次请求时附送上这个token值
- 服务端验证token值,并返回数据
这个token必须要在每次请求时传递给服务端,它应该保存在请求头里, 另外,服务端要支持CORS(跨域资源共享)策略,一般我们在服务端这么做就可以了Access-Control-Allow-Origin: *
。
JWT的构成
JWT是由三段信息构成的,将这三段信息的文本用.连接一起就构成了JWT字符串。就像这样:
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ
第一部分我们称它为头部(header),第二部分我们称其为载荷(payload,类似于飞机上承载的物品),第三部分是签证(signature)。
头部(header)
JWT的头部承载两部分信息:
- 声明类型,这里是jwt
- 声明加密的算法,通常直接使用 HMAC SHA256。这的加密算法也就是签名算法。
完整的头部就像下面这样的JSON:
{'typ': 'JWT','alg': 'HS256'
}
然后将头部进行base64加密(该加密是可以对称解密的),就构成了第一部分。
eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9
可以将JWT中的alg算法修改为none:
JWT支持将算法设定为“None”。如果“alg”字段设为“ None”,那么JWT的第三部分会被置空,这样任何token都是有效的。这样就可以伪造token进行随意访问。
载荷(payload)
载荷就是存放有效信息的地方。这个名字像是特指飞机上承载的货品,这些有效信息包含三个部分
- 标准中注册的声明
- 公共的声明
- 私有的声明
标准中注册的声明 (建议但不强制使用) :
iss: jwt签发者
sub: jwt所面向的用户
aud: 接收jwt的一方
exp: jwt的过期时间,这个过期时间必须要大于签发时间
nbf: 定义在什么时间之前,该jwt都是不可用的.
iat: jwt的签发时间
jti: jwt的唯一身份标识,主要用来作为一次性token,从而回避重放攻击。
公共的声明 :
公共的声明可以添加任何的信息,一般添加用户的相关信息或其他业务需要的必要信息。但不建议添加敏感信息,因为该部分在客户端可解密。
私有的声明 :
私有声明是提供者和消费者所共同定义的声明,一般不建议存放敏感信息,因为base64是对称解密的,意味着该部分信息可以归类为明文信息。
定义一个payload:
{"sub": "1234567890","iss": "http://localhost:8000/auth/login","iat": 1451888119,"exp": 1454516119,"nbf": 1451888119,"name": "John Doe","admin": true
}
然后将其进行base64加密,得到Jwt的第二部分。
eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9
签证(signature)
jwt的第三部分是一个签证信息,这个签证信息由三部分组成:
- header (base64加密后的)
- payload (base64加密后的)
- secret
这个部分需要base64加密后的header和base64加密后的payload使用.连接组成的字符串,然后通过header中声明的加密方式进行加盐secret组合加密,然后就构成了jwt的第三部分。
// javascript
var encodedString = base64UrlEncode(header) + '.' + base64UrlEncode(payload);var signature = HMACSHA256(encodedString, 'secret'); // TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ
注意:secret是保存在服务器端的,jwt的签发生成也是在服务器端的,secret就是用来进行jwt的签发和jwt的验证,所以,它就是你服务端的私钥,在任何场景都不应该流露出去。一旦客户端得知这个secret,那就意味着客户端是可以自我签发jwt了。
通过JWT 进行认证
客户端接收服务器返回的JWT,将其存储在Cookie或localStorage中。此后,客户端将在与服务器交互中都会带JWT。如果将它存储在Cookie中,就可以自动发送,但是不会跨域,因此一般是将它放入HTTP请求的Header Authorization字段中。当跨域时,也可以将JWT被放置于POST请求的数据主体中。
服务器每次收到信息都会对它的前两部分进行加密,然后比对加密后的结果是否跟客户端传送过来的第三部分相同,如果相同则验证通过,否则失败。
一般是在请求头里加入Authorization
,并加上Bearer
标注:
fetch('api/user/1', {headers: {'Authorization': 'Bearer ' + token}
})
服务端会验证token,如果验证通过就会返回相应的资源。整个流程就是这样的:
JWT本身包含认证信息,因此一旦信息泄露,任何人都可以获得令牌的所有权限。为了减少盗用,JWT的有效期不宜设置太长。对于某些重要操作,用户在使用时应该每次都进行进行身份验证。为了减少盗用和窃取,JWT不建议使用HTTP协议来传输代码,而是使用加密的HTTPS协议进行传输。
JWT安全问题
JWT安全问题一般有以下
- 修改算法为none
- 修改算法从RS256到HS256
- 信息泄漏 密钥泄漏
- 爆破密钥
JWT解析及安全问题相关推荐
- 解决JWT解析token数据时拿不到问题
前言 JWT 解析token数据时,失败 详情: 通过截图,我们可以看到,payload我们加密的token自定义数据,就是拿不到: 使用的jar包: <dependency><gr ...
- jwt解析token报错:Signed Claims JWSs are not supported.
jwt解析token报错:Signed Claims JWSs are not supported. Exception in thread "main" io.jsonwebto ...
- Cookie、Session、Token与JWT解析
作者:_code_x 链接:https://www.jianshu.com/p/cab856c32222 认证.授权与凭证 什么是认证(Authentication)? 通俗地讲就是验证当前用户的身份 ...
- Cookie Session Token 与 JWT 解析
首先先了解一些关键词 认证.授权与凭证 什么是认证(Authentication)? 通俗地讲就是 验证当前用户的身份是否合法的过程,即你是谁?证明"你是你自己"(比如:你每天上下 ...
- 全面解析Discord安全问题
最近看到Discord的安全问题频发,本文以Discord的安全作为主题给大家分享一下Discord上有关安全的问题. 实际上Discord的安全问题被诟病已久,但这也不能完全责怪Discord,因为 ...
- jwt生成token与解析token
1.生成token与解析token部分代码 pom <!-- token验证 --><dependency><groupId>com.auth0</group ...
- Java Token登录验证 使用jjwt生成和解析JWT
Java jjwt生成和解析Token 参考 依赖 流程 生成和解析Jwt 生成jwt 解析Jwt 实例 后端 前端 刚学会了点使用Jwt来验证登录,记录下来 参考 JSON Web Tokens官网 ...
- jwt, json web token
jwt 1. JWT 什么是JWT JWT能做什么 为什么用JWT JWT结构 JWT问题和趋势 2. jwt加解密工具,使用 pom 工具类 测试 1. JWT 什么是JWT 官方定义 json w ...
- 关于java多参数的传值问题解析
https://blog.csdn.net/chenzl0723/article/details/78800819 首页 博客 学院 下载 图文课 论坛 APP 问答 商城 VIP会员 活动 招聘 I ...
- JAVA 安全-JWT 安全及预编译 CASE 注入等
JAVA 安全-JWT 安全及预编译 CASE 注入等 SQL Injection(mitigation) 利用 session 防御 参数绑定方式&order by 绕过 实例 什么是 JW ...
最新文章
- Association Rules 关联规则
- 智源发布!《人工智能的认知神经基础白皮书》
- 深度学习原理—代码分析线性分类与神经网络分类的区别
- 解决:org.apache.ibatis.binding.BindingException: Invalid bound statement (not found) ...
- java 下载图片 弹出框_javaweb多图片打包下载,弹出提示框问题_html/css_WEB-ITnose
- 关于height、offsetheight、clientheight、scrollheight、innerheight、outerheight的区别
- npm 运行报错“Cannot find module ‘@vue/component-compiler-utils/package.json‘”
- echarts 设置各省份颜色
- 微信小程序实现下拉刷新
- 自动控制原理 (二): 控制系统的微分方程
- 地理坐标系与投影坐标系
- 倒计时1天!MDCC 2016移动开发者大会全日程公布(表)
- 百度AI-语音识别图片搜索(Java)
- 1000以内的素数(质数)
- GitHub / 码云 Pages 打造个人在线简历
- outlook打开总是要输入密码,怎么办?
- 学习KeyShot 3D 动画要点
- Web前端:中国环宇科技有限公司网页设计
- Python批量获取VOC测试集的类别
- java 1st 2nd 3rd 4th_为啥第一是1ST,第二是2ND,第三是3RD,第四开始都是TH呢1ST、2ND、...-3rd-英语-耿佬杜同学...
热门文章
- CME ERROR错误代码列表
- 河南公务员写古文辞职信:陡增酒量 武功尽废
- 新浪微博相册图片外链限制,图床不显示解决方法总结!
- axure不能导出图片_Axure7.0导出图片提示内存不足,如何解决?
- 联想电脑键盘M,J,K,L,U,I,O,?按键变成0,1,2,3,4,5,6,+的解决方法
- win怎么在计算机里按日期搜索文件,通用win7系统搜索某时间段内的文件的方法...
- Unity3D之FingerGestures学习
- Lonlife-ACM 1000 - Spoon Devil's 3-D Matrix(最小生成树)——“玲珑杯”acm比赛-试运行赛
- 2021半年度博客总结
- mysql sql 按天分组统计_Mysql按日、周、月进行分组统计