目录一、介绍1、简介2、与session相对比较3、流程4、安全问题5、失效问题6、在线解析平台二、结构1、Header1.1、介绍1.2、组成2、Payload3、Signature3.1、介绍3.2、加密算法3.3、使用建议三、api操作1、sign生成2、verify验证3、获取payload一、介绍1、简介JWT无状态登录是token的一种。全称json web token轻量级的授权和身份认证规范。跨平台存在。结构是 JSON它是一个 JavaScript 对象表示法。它有各种部分标头、有效负载和签名部分。这些都被打包起来然后对 Base64 进行编码和签名以便它是 URL 安全的。2、与session相对比较1有状态登录sessiontomcat中把用户的登录信息保存在服务端的session中再给用户一个cookie值。记录对应的session值下次客户端带cookie来访问时再识别对应的session找到用户的信息。缺点服务器的负荷变大保存大量的session数据。2无状态登录jwt服务器不保存用户的登录信息由客户端请求携带自己的身份信息带入token来获取身份认证。服务器不再保存用户的登录信息多次请求不用访问回到同一台服务服务器可以弹性伸缩减小服务端压力缺点一旦JWT签发在有效期内这个token将会一直有效和服务是否重启无关而session有自己的会话周期。3、流程第一次请求访问时候由服务器对用户进行身份验证验证通过将身份信息加密进程token返回给客户端作为其访问其他服务器集群的身份凭证。每次请求携带token服务器对其进行解密判断有效性。4、安全问题token必须安全可靠推荐采用JWT RSA非对称加密另外JWT一旦签发在有效期内将会一直有效可以通过设置较短过期时间或在业务接口再次做判断、再加入拦截等方法来减小安全风险。1Base64编码方式是可逆的也就是透过编码后发放的Token内容是可以被解析的。一般而言我们都不建议在有效载荷内放敏感讯息比如使用者的密码。2JWT其中的一个组成内容为Signature可以防止通过Base64可逆方法回推有效载荷内容并将其修改。因为Signature是经由Header跟Payload一起Base64组成的。3 Cookie 被窃取了第三方可以做 CSRF 攻击Cookie丢失就表示身份就可以被伪造。故官方建议的使用方式是存放在LocalStorage中并放在请求头中发送。5、失效问题无状态JWT令牌Stateless JWT Token发放出去之后不能通过服务器端让令牌失效必须等到过期时间过才会失去效用。假设在这之间Token被拦截或者有权限管理身份的差异造成授权Scope修改都不能阻止发出去的Token失效并要求使用者重新请求新的Token。6、在线解析平台New tab (jwt.io)二、结构在紧凑的形式中JWT包含三个由点.分隔的部分它们分别是header、payload、sign。如我生成了一个jwt tokeneyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJhdWQiOiJ3ZWItZGVtbyIsImlzcyI6Ind0eXkiLCJ1c2VybmFtZTEiOiJscyIsImV4cCI6MTcyMDE2NjY4NCwidXNlcm5hbWUiOiJscyJ9.QZpJ0mMjm7PmXFb682Xnp5KhaUp8gQ50g-rOU8nvYow1、Header1.1、介绍第一部分是header。为base64编码可解码不要存放关键信息。如我这里解码得到或者通过jwt在线解析平台1.2、组成Header通常由两部分组成1令牌的类型即JWT2常用的加密算法见com.auth0.jwt.algorithms.Algorithm2、Payload第二部分是包含具体的身份信息和声明 (claims)的载荷。为base64编码可解码。放声明内容就是存放沟通讯息的地方在定义上有3种声明Claims1Registered claims注册声明:这些是一组预先定义的声明它们不是强制性的但推荐使用以提供一组有用的可互操作的声明。 其中一些是iss发行者exp到期时间sub主题aud受众等。#Registered Claim Names#2Public claims公开声明:这些可以由使用JWT的人员随意定义。 但为避免冲突应在IANA JSON Web令牌注册表中定义它们或将其定义为包含防冲突命名空间的URI。3Private claims私有声明:这些是为了同意使用它们但是既没有登记也没有公开声明的各方之间共享信息而创建的定制声明。如我这里解码得到通过jwt在线解析平台3、Signature3.1、介绍签名由前两部分加密形成用于验证 Token 的完整性和真实性不能base64解码。如我使用一个sign通过base64解码不了3.2、加密算法Signature不能被解密。因为 Signature 并不是加密的结果而是使用指定的加密算法如 HMAC、RSA 等基于 Header 和 Payload 计算出来的一个摘要或签名相当于先加密再hash。Signature 的作用是用于验证 JWT 是否被篡改过而不是用来获取原始数据或加密的数据。计算方法Signature是这么算出来的 var encodedString base64UrlEncode(header) . base64UrlEncode(payload); var signature HMACSHA256(encodedString, your_secret); 说明 1、header和payload先用base64加密用点链接起来再用header里alg所指定的算法计算摘要 2、your_secret 就是秘钥加密方和解密方共同知道的解密的时候要用如使用HMAC SHA256算法签名将按照以下方式创建HMACSHA256( base64UrlEncode(header) . base64UrlEncode(payload), secret)通过在线解析平台3.3、使用建议不要存放敏感信息在Token里。Payload中的exp时效不要设定太长。开启Only Http预防XSS攻击。如果担心重播攻击replay attacks 可以增加jtiJWT IDexp有效时间 Claim。在你的应用程序应用层中增加黑名单机制必要的时候可以进行Block做阻挡这是针对掉令牌被第三方使用窃取的手动防御。三、使用方法以常见的auth0和jjwt插件为例1、sign生成需要指定算法算法又依赖了secret所以需要保管好secret防止别人随意生成来攻击系统1auth0JWT.create() //iss签发方 .withIssuer(wtyy) //aud接收jwt的一方 .withAudience(web-demo) //expjwt的过期时间 //.withExpiresAt() //其他自定义通信信息 .withClaim(username, userEntity.getUsername()) .withClaim(age,userEntity.getAge()) .withExpiresAt(date) .sign(algorithm);2jjwt// 生成 JWT public static String generateToken(String key) { long expirationTime 1000 * 60 * 60; // 1小时 Date now new Date(); Date expiryDate new Date(now.getTime() expirationTime); return Jwts.builder() .setSubject(web) .setIssuer(wtyy) .setAudience(to_third_party) .setIssuedAt(now) .setExpiration(expiryDate) .signWith(SignatureAlgorithm.HS256, key) .claim(userName,wtyy) .claim(age,18) .compact(); }2、获取payload注意只要是一个jwt都可以解析出payload即使过期了也可以解析出payload因为过期是业务判断的。所以拿到一个jwt应该① 验证算法是否合法即是不是签发方生成的② 并且判断是不是已经过期了③ 最后再去获取payload④ 如果需要获取payload后还可以通过payload通信信息做进一步的校验从而判断token是否合法。1auth0对于第一步auth0提供了单独的 verify验证方法验证不通过会抛异常private static boolean verifyToken(String secret, String token) { Algorithm algorithm getCurrentAlgorithm(secret); try{ JWTVerifier verifier JWT.require(algorithm).build(); //验证不通过会抛异常 verifier.verify(token); return true; }catch (Exception e){ log.error(token非法); return false; } }完整的验证关键代码示例DecodedJWT jwt JWT.decode(token); //1、验证 是否过期 Date expireDate jwt.getExpiresAt(); if(expireDate.before(new Date())){ log.error(token已过期); } //2、verify验证 verify(); //3、获取通信字段 MapString, Claim claims jwt.getClaims(); String username claims.get(username).asString(); int age claims.get(age).asInt(); //4、根据通信字段进一步校验是否合法合法的存入全局变量做为当前调用方的凭证 ......2jjwtjjwt插件的API设计获取payload可传入密钥来验证算法验证不通过会抛异常验证成功返回payloadpackage org.es.demo.util; import io.jsonwebtoken.Claims; import io.jsonwebtoken.Jwts; import io.jsonwebtoken.SignatureAlgorithm; import io.jsonwebtoken.security.Keys; import lombok.extern.slf4j.Slf4j; import java.util.Date; Slf4j public class JwtUtil { //private static final SecretKey SECRET_KEY Keys.secretKeyFor(SignatureAlgorithm.HS256); // 自动生成一个符合要求的密钥 // 生成 JWT public static String generateToken(String key) { long expirationTime 1000 * 60 * 60; // 1小时 Date now new Date(); Date expiryDate new Date(now.getTime() expirationTime); return Jwts.builder() .setSubject(web) .setIssuer(wtyy) .setAudience(to_third_party) .setIssuedAt(now) .setExpiration(expiryDate) .signWith(SignatureAlgorithm.HS256, key) .claim(userName,wtyy) .claim(age,18) .compact(); } private static String getUserNameByToken(String token, String key) { Claims claims; try{ claims Jwts.parser() .setSigningKey(key) // 设置签名密钥 .parseClaimsJws(token) .getBody(); // 获取 Claims 数据 }catch (Exception e){ log.error(token不合法); return null; } Date expirationDate claims.getExpiration(); boolean isExpired expirationDate.before(new Date()); if (isExpired) { log.error(token已过期); return null; } return (String) claims.get(userName); } public static void main(String[] args) { String key ******; String jwt generateToken(key); String userName getUserNameByToken(jwt,key); log.info(结果userName); } }
目录一、介绍1、简介2、与session相对比较3、流程4、安全问题5、失效问题6、在线解析平台二、结构1、Header1.1、介绍1.2、组成2、Payload3、Signature3.1、介绍3.2、加密算法3.3、使用建议三、api操作1、sign生成2、verify验证3、获取payload一、介绍1、简介JWT无状态登录是token的一种。全称json web token轻量级的授权和身份认证规范。跨平台存在。结构是 JSON它是一个 JavaScript 对象表示法。它有各种部分标头、有效负载和签名部分。这些都被打包起来然后对 Base64 进行编码和签名以便它是 URL 安全的。2、与session相对比较1有状态登录sessiontomcat中把用户的登录信息保存在服务端的session中再给用户一个cookie值。记录对应的session值下次客户端带cookie来访问时再识别对应的session找到用户的信息。缺点服务器的负荷变大保存大量的session数据。2无状态登录jwt服务器不保存用户的登录信息由客户端请求携带自己的身份信息带入token来获取身份认证。服务器不再保存用户的登录信息多次请求不用访问回到同一台服务服务器可以弹性伸缩减小服务端压力缺点一旦JWT签发在有效期内这个token将会一直有效和服务是否重启无关而session有自己的会话周期。3、流程第一次请求访问时候由服务器对用户进行身份验证验证通过将身份信息加密进程token返回给客户端作为其访问其他服务器集群的身份凭证。每次请求携带token服务器对其进行解密判断有效性。4、安全问题token必须安全可靠推荐采用JWT RSA非对称加密另外JWT一旦签发在有效期内将会一直有效可以通过设置较短过期时间或在业务接口再次做判断、再加入拦截等方法来减小安全风险。1Base64编码方式是可逆的也就是透过编码后发放的Token内容是可以被解析的。一般而言我们都不建议在有效载荷内放敏感讯息比如使用者的密码。2JWT其中的一个组成内容为Signature可以防止通过Base64可逆方法回推有效载荷内容并将其修改。因为Signature是经由Header跟Payload一起Base64组成的。3 Cookie 被窃取了第三方可以做 CSRF 攻击Cookie丢失就表示身份就可以被伪造。故官方建议的使用方式是存放在LocalStorage中并放在请求头中发送。5、失效问题无状态JWT令牌Stateless JWT Token发放出去之后不能通过服务器端让令牌失效必须等到过期时间过才会失去效用。假设在这之间Token被拦截或者有权限管理身份的差异造成授权Scope修改都不能阻止发出去的Token失效并要求使用者重新请求新的Token。6、在线解析平台New tab (jwt.io)二、结构在紧凑的形式中JWT包含三个由点.分隔的部分它们分别是header、payload、sign。如我生成了一个jwt tokeneyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJhdWQiOiJ3ZWItZGVtbyIsImlzcyI6Ind0eXkiLCJ1c2VybmFtZTEiOiJscyIsImV4cCI6MTcyMDE2NjY4NCwidXNlcm5hbWUiOiJscyJ9.QZpJ0mMjm7PmXFb682Xnp5KhaUp8gQ50g-rOU8nvYow1、Header1.1、介绍第一部分是header。为base64编码可解码不要存放关键信息。如我这里解码得到或者通过jwt在线解析平台1.2、组成Header通常由两部分组成1令牌的类型即JWT2常用的加密算法见com.auth0.jwt.algorithms.Algorithm2、Payload第二部分是包含具体的身份信息和声明 (claims)的载荷。为base64编码可解码。放声明内容就是存放沟通讯息的地方在定义上有3种声明Claims1Registered claims注册声明:这些是一组预先定义的声明它们不是强制性的但推荐使用以提供一组有用的可互操作的声明。 其中一些是iss发行者exp到期时间sub主题aud受众等。#Registered Claim Names#2Public claims公开声明:这些可以由使用JWT的人员随意定义。 但为避免冲突应在IANA JSON Web令牌注册表中定义它们或将其定义为包含防冲突命名空间的URI。3Private claims私有声明:这些是为了同意使用它们但是既没有登记也没有公开声明的各方之间共享信息而创建的定制声明。如我这里解码得到通过jwt在线解析平台3、Signature3.1、介绍签名由前两部分加密形成用于验证 Token 的完整性和真实性不能base64解码。如我使用一个sign通过base64解码不了3.2、加密算法Signature不能被解密。因为 Signature 并不是加密的结果而是使用指定的加密算法如 HMAC、RSA 等基于 Header 和 Payload 计算出来的一个摘要或签名相当于先加密再hash。Signature 的作用是用于验证 JWT 是否被篡改过而不是用来获取原始数据或加密的数据。计算方法Signature是这么算出来的 var encodedString base64UrlEncode(header) . base64UrlEncode(payload); var signature HMACSHA256(encodedString, your_secret); 说明 1、header和payload先用base64加密用点链接起来再用header里alg所指定的算法计算摘要 2、your_secret 就是秘钥加密方和解密方共同知道的解密的时候要用如使用HMAC SHA256算法签名将按照以下方式创建HMACSHA256( base64UrlEncode(header) . base64UrlEncode(payload), secret)通过在线解析平台3.3、使用建议不要存放敏感信息在Token里。Payload中的exp时效不要设定太长。开启Only Http预防XSS攻击。如果担心重播攻击replay attacks 可以增加jtiJWT IDexp有效时间 Claim。在你的应用程序应用层中增加黑名单机制必要的时候可以进行Block做阻挡这是针对掉令牌被第三方使用窃取的手动防御。三、使用方法以常见的auth0和jjwt插件为例1、sign生成需要指定算法算法又依赖了secret所以需要保管好secret防止别人随意生成来攻击系统1auth0JWT.create() //iss签发方 .withIssuer(wtyy) //aud接收jwt的一方 .withAudience(web-demo) //expjwt的过期时间 //.withExpiresAt() //其他自定义通信信息 .withClaim(username, userEntity.getUsername()) .withClaim(age,userEntity.getAge()) .withExpiresAt(date) .sign(algorithm);2jjwt// 生成 JWT public static String generateToken(String key) { long expirationTime 1000 * 60 * 60; // 1小时 Date now new Date(); Date expiryDate new Date(now.getTime() expirationTime); return Jwts.builder() .setSubject(web) .setIssuer(wtyy) .setAudience(to_third_party) .setIssuedAt(now) .setExpiration(expiryDate) .signWith(SignatureAlgorithm.HS256, key) .claim(userName,wtyy) .claim(age,18) .compact(); }2、获取payload注意只要是一个jwt都可以解析出payload即使过期了也可以解析出payload因为过期是业务判断的。所以拿到一个jwt应该① 验证算法是否合法即是不是签发方生成的② 并且判断是不是已经过期了③ 最后再去获取payload④ 如果需要获取payload后还可以通过payload通信信息做进一步的校验从而判断token是否合法。1auth0对于第一步auth0提供了单独的 verify验证方法验证不通过会抛异常private static boolean verifyToken(String secret, String token) { Algorithm algorithm getCurrentAlgorithm(secret); try{ JWTVerifier verifier JWT.require(algorithm).build(); //验证不通过会抛异常 verifier.verify(token); return true; }catch (Exception e){ log.error(token非法); return false; } }完整的验证关键代码示例DecodedJWT jwt JWT.decode(token); //1、验证 是否过期 Date expireDate jwt.getExpiresAt(); if(expireDate.before(new Date())){ log.error(token已过期); } //2、verify验证 verify(); //3、获取通信字段 MapString, Claim claims jwt.getClaims(); String username claims.get(username).asString(); int age claims.get(age).asInt(); //4、根据通信字段进一步校验是否合法合法的存入全局变量做为当前调用方的凭证 ......2jjwtjjwt插件的API设计获取payload可传入密钥来验证算法验证不通过会抛异常验证成功返回payloadpackage org.es.demo.util; import io.jsonwebtoken.Claims; import io.jsonwebtoken.Jwts; import io.jsonwebtoken.SignatureAlgorithm; import io.jsonwebtoken.security.Keys; import lombok.extern.slf4j.Slf4j; import java.util.Date; Slf4j public class JwtUtil { //private static final SecretKey SECRET_KEY Keys.secretKeyFor(SignatureAlgorithm.HS256); // 自动生成一个符合要求的密钥 // 生成 JWT public static String generateToken(String key) { long expirationTime 1000 * 60 * 60; // 1小时 Date now new Date(); Date expiryDate new Date(now.getTime() expirationTime); return Jwts.builder() .setSubject(web) .setIssuer(wtyy) .setAudience(to_third_party) .setIssuedAt(now) .setExpiration(expiryDate) .signWith(SignatureAlgorithm.HS256, key) .claim(userName,wtyy) .claim(age,18) .compact(); } private static String getUserNameByToken(String token, String key) { Claims claims; try{ claims Jwts.parser() .setSigningKey(key) // 设置签名密钥 .parseClaimsJws(token) .getBody(); // 获取 Claims 数据 }catch (Exception e){ log.error(token不合法); return null; } Date expirationDate claims.getExpiration(); boolean isExpired expirationDate.before(new Date()); if (isExpired) { log.error(token已过期); return null; } return (String) claims.get(userName); } public static void main(String[] args) { String key ******; String jwt generateToken(key); String userName getUserNameByToken(jwt,key); log.info(结果userName); } }
)
