jwt如何防止token被窃取_如何使用 NodeJS 实现 JWT 原理
来源:腾讯IMWeb团队
https://juejin.cn/post/6873700061000237069
jwt是json web token的简称,本文介绍它的原理,最后后端用nodejs自己实现如何为客户端生成令牌token和校验token
1.为什么需要会话管理
我们用nodejs为前端或者其他服务提供resful接口时,http协议他是一个无状态的协议,有时候我们需要根据这个请求的上下获取具体的用户是否有权限,针对用户的上下文进行操作。所以出现了cookies session还有jwt这几种技术的出现, 都是对HTTP协议的一个补充。使得我们可以用HTTP协议+状态管理构建一个的面向用户的WEB应用。
2.session和cookies
session和cookies是有联系的,session就是服务端在客户端cookies种下的session_id, 服务端保存session_id所对应的当前用户所有的状态信息。每次客户端请求服务端都带上cookies中的session_id, 服务端判断是否有具体的用户信息,如果没有就去调整登录。
- cookies安全性不好,攻击者可以通过获取本地cookies进行欺骗或者利用cookies进行CSRF攻击。
- cookies在多个域名下,会存在跨域问题
- session的信息是保存在服务端上面的,当我们node.js在stke部署多台机器的时候,需要解决共享session,所以引出来session持久化问题,所以session不支持分布式架构,无法支持横向扩展,只能通过数据库来保存会话数据实现共享。如果持久层失败会出现认证失败。
3.jwt的定义
jwt是json web token的全称,他解决了session以上的问题,优点是服务器不保存任何会话数据,即服务器变为无状态,使其更容易扩展,什么情况下使用jwt比较合适,我觉得就是授权这个场景,因为jwt使用起来轻便,开销小,后端无状态,所以使用比较广泛。
4.jwt的原理
JWT 的原理是,服务器认证以后,生成一个 JSON 对象,发回给用户,就像下面这样。
{ "姓名": "张三", "角色": "管理员", "到期时间": "2018年7月1日0点0分"}
以后,用户与服务端通信的时候,都要发回这个 JSON 对象。服务器完全只靠这个对象认定用户身份。为了防止用户篡改数据,服务器在生成这个对象的时候,会加上签名。
5.jwt的认证流程
流程说明:
- 浏览器发起请求登陆,携带用户名和密码;
- 服务端根据用户名和明码到数据库验证身份,根据算法,将用户标识符打包生成 token,
- 服务器返回JWT信息给浏览器,JWT不应该包含敏感信息,这是很重要的一点
- 浏览器发起请求获取用户资料,把刚刚拿到的 token一起发送给服务器,一般放在header里面,字段为authorization
- 服务器发现数据中有 token,decode token的信息,然后再次签名,验明正身;
- 服务器返回该用户的用户资料;
- 服务器可以在payload设置过期时间, 如果过期了,可以让客户端重新发起验证。
6.jwt的数据结构
jwt包含了使用.
风格的三个部分
Header头部
{ "alg": "HS256", "typ": "JWT"} // algorithm => HMAC SHA256// type => JWT
这是固定的写法,alg表面要用的是HS256算法
Payload 负载、载荷,JWT 规定了7个官方字段
iss (issuer):签发人exp (expiration time):过期时间sub (subject):主题aud (audience):受众nbf (Not Before):生效时间iat (Issued At):签发时间jti (JWT ID):编号
除了这七个,可以自定义,比如过期时间
Signature 签名
对前两部分header和payload进行签名,防止数据篡改
HMACSHA256( base64UrlEncode(header) + "." + base64UrlEncode(payload), secret)
secret是一段字符串,后端保存,需要注意的是JWT 作为一个令牌(token),有些场合可能会放到 URL(比如 api.example.com/?token=xxx)。Base64 有三个字符+、/和=,在 URL 里面有特殊含义,所以要被替换掉:=被省略、+替换成-,/替换成_ 。这就是 Base64URL 算法。
7.jwt使用方式
HTTP 请求的头信息Authorization
字段里面, Bearer也是规定好的
Authorization: Bearer
通过url传输(不推荐)
http://www.xxx.com/pwa?token=xxxxx
如果是post请求也可以放在请求体中
8.在koa项目中使用
可以使用现成库,jwt-simple
或者 jsonwebtoken
let Koa = require('koa');let Router = require('koa-router');let bodyparser = require('koa-bodyparser');let jwt = require('jwt-simple');let router = new Router()let app = new Koa();app.use(bodyparser());// 可以自己自定义let secret = 'zhenglei';// 验证是否登陆router.post('/login',async(ctx)=>{ let {username,password} = ctx.request.body; if(username === 'admin' && password === 'admin'){ // 通常会查数据库,这里简单的演示 let token = jwt.encode(username, secret); ctx.body = { code:200, username, token, } }});// 验证是否有权限router.get('/validate',async(ctx)=>{ let Authorization = ctx.get('authorization') let [,token] = Authorization.split(' '); if(token){ try{ let r = jwt.decode(token,secret); ctx.body = { code:200, username:r, token } }catch(e){ ctx.body = { code:401, data:'没有登陆' } } }else{ ctx.body = { code:401, data:'没有登陆' } }
});app.use(router.routes());app.listen(4000);
- 实现两个接口 一个是
/login
验证是否登录,一个是validate
,验证是否有权限 - 请求login接口的时候,客户端带username和password, 后端一般会查数据库,验证是否存在当前用户,如果存在则为username进行签名,千万不要给password这些敏感信息也带进来签名
- 客户端接收后端给的token令牌,再请求其他接口,比如这个例子的
/validate
的时候,ajax请求的时候,可以在header指定authorization
字段,后端拿到token进行decode,然后将header和payload进行再一次的签名,如果前后的签名一致,说明没有被篡改过,则权限验证通过。因为是同步的过程,所以可以用try catch来捕捉错误
9.原理的实现
sha256哈希算法,可以用nodejs的内置加密模块crypto, 生成base64字符串,要注意的是生成base64需要为+ - = 做一下替换,=被省略、+替换成-,/替换成_ 。这就是 Base64URL 算法。
token令牌的组成是header, payload和sigin的通过
.
来组成base64urlUnescape的解码是固定写法,decode出base64的内容
let myJwt = { sign(content,secret){ let r = crypto.createHmac('sha256',secret).update(content).digest('base64'); return this.base64urlEscape(r) }, base64urlEscape(str){ return str.replace(/\+/g, '-').replace(/\//g, '_').replace(/=/g, ''); }, toBase64(content){ return this.base64urlEscape(Buffer.from(JSON.stringify(content)).toString('base64')) }, encode(username,secret){ let header = this.toBase64({ typ: 'JWT', alg: 'HS256' }); let content = this.toBase64(username); let sign = this.sign([header,content].join('.'),secret); return [header,content,sign].join('.') }, base64urlUnescape(str) { str += new Array(5 - str.length % 4).join('='); return str.replace(/\-/g, '+').replace(/_/g, '/'); }, decode(token,secret){ let [header,content,sign] = token.split('.'); let newSign = this.sign([header,content].join('.'),secret); if(sign === newSign){ return Buffer.from(this.base64urlUnescape(content),'base64').toString(); }else{ throw new Error('被篡改') } }}
10.jwt的优缺点
- JWT默认不加密,但可以加密。生成原始令牌后,可以使用改令牌再次对其进行加密。
- 当JWT未加密方法是,一些私密数据无法通过JWT传输。
- JWT不仅可用于认证,还可用于信息交换。善用JWT有助于减少服务器请求数据库的次数。
- JWT的最大缺点是服务器不保存会话状态,所以在使用期间不可能取消令牌或更改令牌的权限。也就是说,一旦JWT签发,在有效期内将会一直有效。
- JWT本身包含认证信息,因此一旦信息泄露,任何人都可以获得令牌的所有权限。为了减少盗用,JWT的有效期不宜设置太长。对于某些重要操作,用户在使用时应该每次都进行进行身份验证。
- 为了减少盗用和窃取,JWT不建议使用HTTP协议来传输代码,而是使用加密的HTTPS协议进行传输。
jwt如何防止token被窃取_如何使用 NodeJS 实现 JWT 原理相关推荐
- jwt如何防止token被窃取_在吗?认识一下JWT(JSON Web Token)?
什么是JSON Web Token ? 官网介绍: JSON Web Token(JWT)是一个开放标准(RFC 7519),它定义了一种紧凑且自包含的方式,用于在各方之间安全地将信息作为JSON对象 ...
- jwt如何防止token被窃取_JWT令牌
6.3.1 JWT介绍 通过上边的测试我们发现,当资源服务和授权服务不在一起时资源服务使用RemoteTokenServices 远程请求授权服务验证token,如果访问量较大将会影响系统的性能 . ...
- jwt判断token是否过期_前端也得搞懂 JWT 这个知识点
什么是 JWT 概念 JSON Web Token(简称 JWT)是目前最流行的跨域认证解决方案. JWT 原理 JWT 组成 JWT 由三部分组成:Header,Payload,Signature ...
- jwt token 过期刷新_如何在SpringBoot中集成JWT(JSON Web Token)鉴权
这篇博客主要是简单介绍了一下什么是JWT,以及如何在Spring Boot项目中使用JWT(JSON Web Token). 1.关于JWT 1.1 什么是JWT 老生常谈的开头,我们要用这样一种工具 ...
- api token 什么意思_还分不清 Cookie、Session、Token、JWT?
什么是认证(Authentication) 通俗地讲就是验证当前用户的身份,证明"你是你自己"(比如:你每天上下班打卡,都需要通过指纹打卡,当你的指纹和系统里录入的指纹相匹配时,就 ...
- 访问网址 token的格式_一文彻底搞懂Cookie、Session、Token到底是什么
欢迎关注文章系列 ,关注我 <提升能力,涨薪可待> <面试知识,工作可待> <实战演练,拒绝996> 如果此文对你有帮助.喜欢的话,那就点个赞呗,点个关注呗! Co ...
- JWT(JSON Web Token)简介及实现
JWT(JSON Web Token):是一个开放标准(RFC 7519),它定义了一种紧凑且自包含的方式,用于在各方之间作为Json对象安全地传输信息.由于此信息是经过数字签名的,因此可以被验证和信 ...
- JWT(JSON Web Token) Java与.Net简单编码实现
参考 JWT(JSON WEB TOKENS)-一种无状态的认证机制 基于Token的WEB后台认证机制 各种语言版本的基于HMAC-SHA256的base64加密 Java与.Net实现实现 // ...
- jwt, json web token
jwt 1. JWT 什么是JWT JWT能做什么 为什么用JWT JWT结构 JWT问题和趋势 2. jwt加解密工具,使用 pom 工具类 测试 1. JWT 什么是JWT 官方定义 json w ...
最新文章
- windows opensshd 连接就close_基于Windows白名单执行Payload上线Metasploit 渗透红队笔记...
- Q新闻丨MongoDB更换开源协议;Redis 5.0、Angular 7.0发布
- 蓝牙耳机和蓝牙鼠标相互干扰_蓝牙耳机推荐:编辑亲测后中肯评价五大爆款蓝牙耳机...
- 浅谈新一代Android操作系统Android L
- Winform中设置ZedGraph鼠标滚轮缩放的灵敏度以及设置滚轮缩放的方式(鼠标焦点为中心还是图形中心点)
- iOS如何退出测试软件,如何继续测试iOS应用程序,使用UIAutomation仪器,甚至应用程序退出后?(How to c...
- 【C#编程基础学习笔记】6---变量的命名
- NOIP 贪心 国王游戏
- 机器视觉 光学工程专业_机器视觉,如何影响世界?光学筛选机技术挑起大梁!...
- 《几何与代数导引》习题1.34.2
- 测试cpu温度软件mac,mac电脑怎么查看cpu温度和风扇转速的详细步骤
- AutoRunner 功能自动化测试项目实训之第二个实战案例(五)
- 【原创】个人常用电脑软件、浏览器插件、手机APP常用推荐
- 树莓派学习【不定时更新】
- C语言程序设计编程题(六)15
- 推荐一款实用的用户画像工具--快鲸scrm
- 如何查看linux内核版本
- Dalvik--Android专属Java虚拟机
- 简述封装vue组件的过程
- Android性能调优实例
热门文章
- linux每日一练:Enable multithreading to use std::thread: Operation not permitted问题解决
- TextView的一些高级应用(自定义字体、显示多种颜色、添加阴影)
- ExtJS Panel主要配置列表
- win7下安装usb转串口不成功解决方法
- 92.与上游服务建立连接
- 87.http upstream模块提供的变量
- Per-class allocator 1
- Pandas+Pyecharts:2021中国大学综合排名分析+可视化,来围观看看你的大学上榜没
- pythontry参数_Python try except异常处理详解(入门必读)
- 计算机通信基础ppt,计算机网络第2章 数据通信基础知识要点课件.ppt