使用 做签名的post_腾讯IMWeb团队是如何使用 NodeJS 实现 JWT 原理
jwt是json web token的简称,本文介绍它的原理,最后后端用nodejs自己实现如何为客户端生成令牌token和校验token
![](/assets/blank.gif)
作者:腾讯IMWeb团队。https://juejin.im/post/6873700061000237069
1.为什么需要会话管理
我们用nodejs为前端或者其他服务提供resful接口时,http协议他是一个无状态的协议,有时候我们需要根据这个请求的上下获取具体的用户是否有权限,针对用户的上下文进行操作。所以出现了cookies session还有jwt这几种技术的出现, 都是对HTTP协议的一个补充。使得我们可以用HTTP协议+状态管理构建一个的面向用户的WEB应用。
2.session和cookies
session和cookies是有联系的,session就是服务端在客户端cookies种下的session_id, 服务端保存session_id所对应的当前用户所有的状态信息。每次客户端请求服务端都带上cookies中的session_id, 服务端判断是否有具体的用户信息,如果没有就去调整登录。
- cookies安全性不好,攻击者可以通过获取本地cookies进行欺骗或者利用cookies进行CSRF攻击。
- cookies在多个域名下,会存在跨域问题
- session的信息是保存在服务端上面的,当我们node.js在stke部署多台机器的时候,需要解决共享session,所以引出来session持久化问题,所以session不支持分布式架构,无法支持横向扩展,只能通过数据库来保存会话数据实现共享。如果持久层失败会出现认证失败。
3.jwt的定义
jwt是json web token的全称,他解决了session以上的问题,优点是服务器不保存任何会话数据,即服务器变为无状态,使其更容易扩展,什么情况下使用jwt比较合适,我觉得就是授权这个场景,因为jwt使用起来轻便,开销小,后端无状态,所以使用比较广泛。
4.jwt的原理
JWT 的原理是,服务器认证以后,生成一个 JSON 对象,发回给用户,就像下面这样。
{ "姓名": "张三", "角色": "管理员", "到期时间": "2018年7月1日0点0分"}
以后,用户与服务端通信的时候,都要发回这个 JSON 对象。服务器完全只靠这个对象认定用户身份。为了防止用户篡改数据,服务器在生成这个对象的时候,会加上签名。
5.jwt的认证流程
流程说明:
- 浏览器发起请求登陆,携带用户名和密码;
- 服务端根据用户名和明码到数据库验证身份,根据算法,将用户标识符打包生成 token,
- 服务器返回JWT信息给浏览器,JWT不应该包含敏感信息,这是很重要的一点
- 浏览器发起请求获取用户资料,把刚刚拿到的 token一起发送给服务器,一般放在header里面,字段为authorization
- 服务器发现数据中有 token,decode token的信息,然后再次签名,验明正身;
- 服务器返回该用户的用户资料;
- 服务器可以在payload设置过期时间, 如果过期了,可以让客户端重新发起验证。
6.jwt的数据结构
jwt包含了使用.风格的三个部分
Header头部
{ "alg": "HS256", "typ": "JWT"} // algorithm => HMAC SHA256// type => JWT
这是固定的写法,alg表面要用的是HS256算法
Payload 负载、载荷,JWT 规定了7个官方字段
iss (issuer):签发人exp (expiration time):过期时间sub (subject):主题aud (audience):受众nbf (Not Before):生效时间iat (Issued At):签发时间jti (JWT ID):编号
除了这七个,可以自定义,比如过期时间
Signature 签名
对前两部分header和payload进行签名,防止数据篡改
HMACSHA256( base64UrlEncode(header) + "." + base64UrlEncode(payload), secret)
secret是一段字符串,后端保存,需要注意的是JWT 作为一个令牌(token),有些场合可能会放到 URL(比如 api.example.com/?token=xxx)。Base64 有三个字符+、/和=,在 URL 里面有特殊含义,所以要被替换掉:=被省略、+替换成-,/替换成_ 。这就是 Base64URL 算法。
7.jwt使用方式
HTTP 请求的头信息Authorization字段里面, Bearer也是规定好的
Authorization: Bearer
通过url传输(不推荐)
http://www.xxx.com/pwa?token=xxxxx
如果是post请求也可以放在请求体中
8.在koa项目中使用
可以使用现成库,jwt-simple 或者 jsonwebtoken
let Koa = require('koa');let Router = require('koa-router');let bodyparser = require('koa-bodyparser');let jwt = require('jwt-simple');let router = new Router()let app = new Koa();app.use(bodyparser());// 可以自己自定义let secret = 'zhenglei';// 验证是否登陆router.post('/login',async(ctx)=>{ let {username,password} = ctx.request.body; if(username === 'admin' && password === 'admin'){ // 通常会查数据库,这里简单的演示 let token = jwt.encode(username, secret); ctx.body = { code:200, username, token, } }});// 验证是否有权限router.get('/validate',async(ctx)=>{ let Authorization = ctx.get('authorization') let [,token] = Authorization.split(' '); if(token){ try{ let r = jwt.decode(token,secret); ctx.body = { code:200, username:r, token } }catch(e){ ctx.body = { code:401, data:'没有登陆' } } }else{ ctx.body = { code:401, data:'没有登陆' } }
});app.use(router.routes());app.listen(4000);
- 实现两个接口 一个是/login 验证是否登录,一个是 validate,验证是否有权限
- 请求login接口的时候,客户端带username和password, 后端一般会查数据库,验证是否存在当前用户,如果存在则为username进行签名,千万不要给password这些敏感信息也带进来签名
- 客户端接收后端给的token令牌,再请求其他接口,比如这个例子的/validate的时候,ajax请求的时候,可以在header指定authorization字段,后端拿到token进行decode,然后将header和payload进行再一次的签名,如果前后的签名一致,说明没有被篡改过,则权限验证通过。因为是同步的过程,所以可以用try catch来捕捉错误
9.原理的实现
sha256哈希算法,可以用nodejs的内置加密模块crypto, 生成base64字符串,要注意的是生成base64需要为+ - = 做一下替换,=被省略、+替换成-,/替换成_ 。这就是 Base64URL 算法。
token令牌的组成是header, payload和sigin的通过.来组成
base64urlUnescape的解码是固定写法,decode出base64的内容
let myJwt = { sign(content,secret){ let r = crypto.createHmac('sha256',secret).update(content).digest('base64'); return this.base64urlEscape(r) }, base64urlEscape(str){ return str.replace(/\+/g, '-').replace(/\//g, '_').replace(/=/g, ''); }, toBase64(content){ return this.base64urlEscape(Buffer.from(JSON.stringify(content)).toString('base64')) }, encode(username,secret){ let header = this.toBase64({ typ: 'JWT', alg: 'HS256' }); let content = this.toBase64(username); let sign = this.sign([header,content].join('.'),secret); return [header,content,sign].join('.') }, base64urlUnescape(str) { str += new Array(5 - str.length % 4).join('='); return str.replace(/\-/g, '+').replace(/_/g, '/'); }, decode(token,secret){ let [header,content,sign] = token.split('.'); let newSign = this.sign([header,content].join('.'),secret); if(sign === newSign){ return Buffer.from(this.base64urlUnescape(content),'base64').toString(); }else{ throw new Error('被篡改') } }}
10.jwt的优缺点
- JWT 默认不加密,但可以加密。生成原始令牌后,可以使用改令牌再次对其进行加密。
- 当 JWT 未加密方法是,一些私密数据无法通过 JWT 传输。
- JWT 不仅可用于认证,还可用于信息交换。善用 JWT 有助于减少服务器请求数据库的次数。
- JWT 的最大缺点是服务器不保存会话状态,所以在使用期间不可能取消令牌或更改令牌的权限。也就是说,一旦 JWT 签发,在有效期内将会一直有效。
- JWT 本身包含认证信息,因此一旦信息泄露,任何人都可以获得令牌的所有权限。为了减少盗用,JWT 的有效期不宜设置太长。对于某些重要操作,用户在使用时应该每次都进行进行身份验证。
- 为了减少盗用和窃取,JWT 不建议使用 HTTP 协议来传输代码,而是使用加密的 HTTPS 协议进行传输。
❤️ 爱心三连击
1.如果觉得这篇文章还不错,来个分享、点赞、在看三连吧,让更多的人也看到~
2.关注公众号超级全栈架构师,领取5000G全栈学习资料,定期为你推送新鲜干货好文,每周送书福利,不要错过哟~
3.扫描下方添加微信,拉你进技术交流群和各大厂的同学一起学习交流成长 ~
你点的每个赞,我都认真当成了喜欢
使用 做签名的post_腾讯IMWeb团队是如何使用 NodeJS 实现 JWT 原理相关推荐
- 使用 做签名的post_基础实操|使用jmeter对聊天软件进行接口测试
前言 准备上架一款聊天app,上架之前准备做一些测试工作,模拟用户进入房间,维持心跳,房间送礼,发言等行为(因为用的第三方im以及声网,这些都是基于http的),也不是很懂测试,听老大说过一嘴,可以用 ...
- 超级签名与企业签名有什么区别,开发者想要做签名分发需要注意什么?怎么防止入坑(当然入坑是必须的)
痛苦的宝贝们分享一下分发过程做签名的注意事项!满满的都是智商在飞驰 跑路!跑路!跑路!我跑你*呀你!为啥不能好好沟通呢?是早就想好了这样还是真的没有办法?那么肯定就是有办法不给解决!其实细细算一笔账单 ...
- 闪讯客户端 linux,Linux操做系统下链接闪讯的方法(支持有线与无线)
1.前言 用过电信闪讯的同窗都知道,闪讯没有开发Linux的客户端程序,因此这让不少玩Linux操做系统同时又是闪讯用户的同窗很头疼,今天我就来介绍一下如何在Linux下链接闪讯网络,而且支持有线链接 ...
- 15个可以做签名的高权重论坛
经过了这么长时间的Seo学习和探索,结合自己博客分享的实践,收集了一些做签名的高权重论坛,一共15个论坛.我想做seo的朋友都希望扩大网站 的领域范围,当然也不会出错过论坛签名这个机会了,这些论坛,只 ...
- 不做XR业务,腾讯如何做元宇宙?
作者 | 刘然 来源 | 洞见新研社 腾讯的XR业务,沦为弃子. 去年6月份成立,到目前不足1年的腾讯XR(混合现实)部门,在今年一月份开始陆续退场,其XR部分业务开始暂停.有媒体报道,2月16日下午 ...
- 炫界 (667) -(回应骑两小)_适合做签名的文艺小句子 适合做签名的文艺小句
适合做签名的文艺小句子 适合做签名的文艺小句 发布时间:2020-11-08 19:32 编辑:小云 点击: 次 1.撒娇是察觉到了被偏爱的可能. 2.若能避开猛烈的狂喜 自然不会有悲痛来袭. 3.温 ...
- 腾讯TEG团队打造轻量级数据可视化工具——小马BI【强烈推荐大数据行业学习】
推荐一个BI工具--小马BI 在职场中有一项共识是:数据驱动业务价值.业务在产品.运营.开发.技术支持.销售等环节都有着大量的数据需求, 市面上也出现了很多 BI 可视化工具,但如果能同时具备以下特性 ...
- 腾讯QQ团队开源分布式后台毫秒服务引擎全解析:引擎架构、RPC、灰度……
腾讯QQ团队将于12月4日开源一个服务开发运营框架,叫做毫秒服务引擎(Mass Service Engine in Cluster,MSEC),它集RPC.名字发现服务.负载均衡.业务监控.灰度发布. ...
- 腾讯 Omi 团队发布 mps - 原生小程序插上 JSX 、Less 和 Cloud 的翅膀
写在前面 原生小程序插上 JSX .Less 和 Cloud 的翅膀 mps 是什么?为什么需要 mps?先列举几个现状: 目前小程序开发使用最多的技术依然是原生小程序 原生小程序的 API 在不断完 ...
最新文章
- web前端培训:CSS中单行文本溢出显示省略号的方法
- 鸿蒙荣耀x10max,荣耀X10 Max有秘密武器:5G大屏手机能比4G还省电
- QT中实现QLineEdit变成圆角以及QCombox大半空白,小部分下拉框样式
- 接口 java性能_MyPerf4J 一个极快的Java接口性能监控和统计工具
- 大理大学日常作业计算机基础知识,大理学院成人高等教育大学计算机基础课程作业.doc...
- Tesseract-OCR识别中文与训练字库实例
- Python使用quote、unquote、urlencode、urldecode对url编码解码
- 不定积分知识结构图_不定积分计算法则总结
- 子div 遮盖 父div
- OpenGL学习笔记九——光照3(实现三种光照类型:平行光,点光源,聚光灯)
- 《Python程序设计(第3版)》[美] 约翰·策勒(John Zelle) 第 9 章 答案
- 关于送货单的格式要求?
- buu-[ACTF新生赛2020]SoulLike
- 2019FME博客大赛——【零编码】利用FME实现城市高德路况抓取及增量更新——以深圳为例
- noip冲刺计划(no regrets,no fear)
- 【2019.8.9 慈溪模拟赛 T2】摘Galo(b)(树上背包)
- JVM监控和诊断的工具(MAT)
- 2021年危险化学品经营单位主要负责人免费试题及危险化学品经营单位主要负责人模拟考试
- Linux上安装和卸载Redis实例教程
- windows上gn编译指引
热门文章
- C#算法设计查找篇之04-斐波那契查找
- snapchat_机器中的幽灵:Snapchat不是移动优先的-完全是另一回事
- 134_Power BI Report Server之某消费品运营数据监控
- dubbo配置参考手册
- 利用Python只需3行代码即可生成验证码
- LeerCode 题 - 14. 最长公共前缀
- 数仓大法好!跨境电商 Shopee 的实时数仓之路
- Python colormap库的安装和使用
- 通俗理解“Schmidt正交化”和“正交矩阵” 此博文包含图片	(2015-05-19 09:50:47) 施密特正交化在空间上是不断建立垂直于原次维空间的新向量的过程。 如图β2垂直于β1(1维)
- 漫步数理统计六——条件概率与独立(下)