Web应用程序的身份验证:Session认证、Token认证 | 您所在的位置:网站首页 › oauth20认证过程 › Web应用程序的身份验证:Session认证、Token认证 |
一、Web应用程序的身份验证
1、Session认证 ① 用户向服务器发送用户名和密码 ② 服务器验证通过后,在当前对话(session)里面保存相关数据,如用户角色,登陆时间等 ③ 服务器向用户返回一个session_id,写入用户的Cookie ④ 用户随后的每一次请求,都会通过Cookie,将session_id传回服务器 ⑤ 服务器收到session_id,找到前期保存的数据,由此得知用户的身份 认证流程:
Session认证的方式扩展性不好,如果是服务器集群,或者是跨域的服务导向架构,就要求session数据共享,以便每台服务器都能够读取session,针对这问题有两种解决方案: ① session数据持久化,写入数据库或别的持久层。优点是架构清晰,但工程量大 ② 服务器不再保存session数据,所有数据都保存在客户端,每次请求都发回服务器。Token就是其中一个代表 2、Token认证 Token是在服务端产生的一串字符串,是客户端访问资源接口(API)时所需要的资源凭证 ① 客户端使用用户名和密码请求登陆,服务端收到请求,去验证用户名和密码 ② 验证成功后,服务端会签发一个token并把这个token发送给客户端 ③ 客户端收到token后,存储起来,比如放在cookie或者localStorage里头 ④ 客户端每次向服务端请求资源时需要带上这个token ⑤ 服务端收到请求后去验证这个token,成功则返回请求数据
实现方式:JWT(JSON Web Token)认证 原理: ① 用户发送用户名和密码后,服务器认证并生成JWT令牌(JSON对象),将其发回给客户端 (为了防止用户篡改数据,服务器在生成这个对象的时候会加上签名) ② 客户端将JWT令牌存储在本地以便后续使用 ③ 当客户端向另一个域名服务器发送请求时,将JWT令牌作为请求头(放在Authorization字段里头)或请求参数发送 ④ 服务器收到请求后,检查JWT令牌的有效性,并进行身份验证和授权 ⑤ 若令牌有效则返回请求的数据,否则返回未授权的错误信息 JWT由三个部分组成: 1、Header(头部): { "alg": "HS256", // 令牌类型 "typ": "JWT" //加密算法 }2、Payload(负载): { "iss": "example.com", "sub": "1234567890", "aud": ["foo", "bar"], "exp": 1648696800, "nbf": 1648693200, // 2022年4月29日10:20:00 "iat": 1648694700, "jti": "abcdef123456" } // 1、iss(issuer): 表示JWT签发者的名称,通常是一个字符串或URL。 // 2、sub(subject): 表示JWT的主题,即客户端的唯一标识符,通常是一个用户ID。 // 3、aud(audience): 表示JWT的预期接收者,即对该JWT有效的接收方,可以是单个字符串或一个字符串数组。 // 4、exp(expiration time): 表示JWT的过期时间,用Unix时间戳表示。 // 5、nbf(not before): 表示JWT的生效时间,用Unix时间戳表示。 // 6、iat(issued at): 表示JWT的签发时间,用Unix时间戳表示。 // 7、jti(JWT ID): 表示JWT的唯一标识符,通常用于避免重放攻击。3、Signature(签名):由Header、Payload和一个密钥(secret,存储在服务器端,对外不可见)进行签名生成。 HMACSHA256( base64UrlEncode(header) + "." + base64UrlEncode(payload), secret)将Header、Payload和Signature通过'.'连接在一起形成JWT令牌,例如: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c代码实现: ① 引入依赖 io.jsonwebtoken jjwt 0.9.1② 添加JWT配置 # JWT相关配置 jwt.secret=your-secret jwt.expiration=3600③ 创建JWT工具类:用于生成和解析JWT @Component public class JwtUtils { // 秘钥 @Value("${jwt.secret}") private String secret; // 过期时间,单位秒 @Value("${jwt.expiration}") private Long expiration; // 生成JWT public String generateToken(Long userId) { SecretKey key = Keys.hmacShaKeyFor(secret.getBytes()); // 创建密钥 Date now = new Date(); Date expireTime = new Date(now.getTime() + expiration * 1000); return Jwts.builder() .setIssuer("issuer") // 设置JWT的签发者 .setAudience("audience") // 设置JWT的接收方 .setSubject(userId.toString()) // 设置JWT的主题 .setIssuedAt(now) // 设置JWT的签发时间 .setExpiration(expireTime) // 设置JWT的过期时间 .signWith(key, SignatureAlgorithm.HS256) // 用HS256算法和密钥key签名JWT .compact(); // 生成JWT字符串 } // 解析JWT public Claims parseToken(String token) { SecretKey key = Keys.hmacShaKeyFor(secret.getBytes()); // 创建密钥 return Jwts.parserBuilder() .setSigningKey(key) // 设置用于解析JWT的密钥 .build() .parseClaimsJws(token) // 解析JWT,获取Jws实例 .getBody(); } }④ 配置拦截器:用于验证请求中的JWT是否有效 @Component public class JwtInterceptor implements HandlerInterceptor { @Autowired private JwtUtils jwtUtils; @Override public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception { // 从请求头中获取token String token = request.getHeader("Authorization"); // 判断token是否存在并以Bearer开头 if (token != null && token.startsWith("Bearer ")) { token = token.substring(7); // 去掉token前缀 Claims claims = jwtUtils.parseToken(token); // 解析JWT if (claims != null) { Long userId = Long.valueOf(claims.getSubject()); // 获取JWT中的用户id // 将用户信息存储到request中,方便后续操作 request.setAttribute("userId", userId); return true; } } // 解析失败,返回401未授权状态码 response.setStatus(HttpServletResponse.SC_UNAUTHORIZED); return false; // 拦截请求 } } ⑤ 使用JWT @RestController @RequestMapping("/api") public class UserController { @Autowired private UserService userService; @PostMapping("/login") public ResponseEntity login(@RequestBody UserLoginDto userLoginDto) { // 用户登录逻辑 // 生成 JWT token String token = Jwts.builder() .setSubject(user.getUsername()) // 主题 .claim("roles", user.getRoles()) .setIssuedAt(new Date()) // 签发时间 .setExpiration(new Date(System.currentTimeMillis() + EXPIRATION_TIME)) // 过期时间 .signWith(SignatureAlgorithm.HS512, SECRET_KEY) // 使用算法和密钥对token进行签名。 .compact(); // 将JWT token生成为字符串 // 返回 token 给客户端 return ResponseEntity.ok(new AuthResponse(token)); } @GetMapping("/users") @PreAuthorize("hasAuthority('ROLE_ADMIN')") // 拥有 ROLE_ADMIN 权限的用户才能访问该方法 public ResponseEntity getUsers(@RequestHeader("Authorization") String authorizationHeader) { String token = authorizationHeader.substring(7); // 去掉 "Bearer" 前缀 // 验证 token 是否有效 Claims claims = Jwts.parser() // 获取一个JwtParser对象 .setSigningKey(SECRET_KEY) // 设置JWT的签名密钥,用于校验JWT的合法性 .parseClaimsJws(token) // 将其转化为Jws对象 .getBody(); // 获取Jws对象中的payload信息 // 获取用户列表逻辑 } @GetMapping("/users/{id}") public ResponseEntity getUserById(@PathVariable Long id) { // 根据用户ID获取用户信息逻辑 } // 省略其他接口... }Session和Token认证的区别: Session和Token都是常用的用户认证方式,它们的作用都是为了验证用户身份和授权访问资源,但是它们的实现方式有所不同。 Session是一种服务器端认证方式,通常通过在服务器端保存用户的登录信息(较安全),以便在后续的请求中进行验证。当用户进行登录操作时,服务器会创建一个Session,并给这个Session分配一个唯一的标识符(Session ID),然后将这个Session ID发送给客户端保存。客户端在后续的请求中需要携带这个Session ID,服务器端根据这个Session ID来查找对应的Session,从而验证用户的身份。 Token是一种无状态认证方式,通常通过在客户端保存用户的登录信息(不安全),以便在后续的请求中进行验证。当用户进行登录操作时,服务器会生成一个Token,并将这个Token发送给客户端保存。客户端在后续的请求中需要携带这个Token,服务器端通过验证这个Token来确定用户的身份。 优缺点: Session需要在服务器端保存用户的登录信息,因此需要占用服务器的资源,并且需要在分布式系统中进行Session共享和Session失效管理(工程量大)。 Token是无状态的,不需要在服务器端保存用户的登录信息,因此具有良好的可扩展性,并且可以很方便地实现分布式系统中的认证和授权。用解析token的计算时间换取session的存储空间,从而减轻服务器压力,减少频繁查询数据库 Session的安全性比较高,因为Session的内容保存在服务器端,客户端无法直接修改Session的内容 Token的安全性相对较低,因为Token的内容保存在客户端,客户端可以通过一些手段来篡改Token的内容。 Session和Token的应用场景: 一般来说,使用 session 可能更适合传统的 Web 应用,因为它通常需要用户在浏览器中持续地与应用交互,而且涉及到敏感数据的处理。例如,在电子商务网站中,用户需要登录才能访问个人购物车和订单等敏感信息,此时可以使用 session 来验证用户身份,并在服务器端存储相关的用户信息和状态。 而在 API (应用程序编程接口)设计和单页面应用中,使用 token 可能更加常见。由于 API 和单页面应用的特性,客户端可以直接与 API 或后端服务通信,而不需要经过浏览器的中间层。此时,使用 token 可以避免一些 session 的问题,如跨域和服务器负载均衡等。同时,token 也更容易在不同服务之间进行传递和共享,比如使用 OAuth2 等协议来实现单点登录和授权等功能。 |
CopyRight 2018-2019 实验室设备网 版权所有 |