专栏首页java思维导图使用jwt技术实现系统间的单点登录

使用jwt技术实现系统间的单点登录

作者:君之见

https://blog.csdn.net/jewelry008/article/details/72771489

单点登录(single sign on),简称sso。它的定义是多个应用系统间,只需要登录一次就可以访问所有相互信任的应用系统。下面介绍用jwt技术如何来实现单点登录。

一、JWT定义及其组成

JWT(JSON WEB TOKEN)是一个非常轻巧的规范,这个规范允许我们使用jwt在客户端和服务器之间传递安全可靠的信息。

JWT由3个部分组成,分别是头部、载荷、签名。

头部部分

{
  "alg": "HS256",
  "typ": "JWT"
}

alg描述的是签名算法。

载荷部分

{
  "iss": "发行者",
  "sub": 主题",
  "aud": “观众”,
  "exp":"过期时间",
  "iat":"签发时间"
  以下可以添加自定义数据
    "userid":"11111",
    “realname":"真实姓名",
    "email":"",
}

Base64算法是可逆的,不可以在载荷部分保存用户密码等敏感信息。如果业务需要,也可以采用对称密钥加密。

签名部分

HMACSHA256(Base64(Header) + "." + Base64(Payload),  secret)

签名的目的是用来验证头部和载荷是否被非法篡改。

验签过程描述:读取Header部分并Base64解码,得到签名算法。根据以上方法算出签名,如果签名信息不一致,说明是非法的。

二、认证过程

下面我们从一个实例来看如何运用JWT机制实现认证:

登录

第一次认证:第一次登录,用户从浏览器输入用户名/密码,提交后到服务器的登录处理的Action层(Login Action);

Login Action调用认证服务进行用户名密码认证,如果认证通过,Login Action层调用用户信息服务获取用户信息(包括完整的用户信息及对应权限信息);

返回用户信息后,Login Action从配置文件中获取Token签名生成的秘钥信息,进行Token的生成;

生成Token的过程中可以调用第三方的JWT Lib生成签名后的JWT数据;

完成JWT数据签名后,将其设置到COOKIE对象中,并重定向到首页,完成登录过程;

请求认证

基于Token的认证机制会在每一次请求中都带上完成签名的Token信息,这个Token信息可能在COOKIE 中,也可能在HTTP的Authorization头中;

客户端(APP客户端或浏览器)通过GET或POST请求访问资源(页面或调用API);

认证服务作为一个Middleware HOOK 对请求进行拦截,首先在cookie中查找Token信息,如果没有找到,则在HTTP Authorization Head中查找;

如果找到Token信息,则根据配置文件中的签名加密秘钥,调用JWT Lib对Token信息进行解密和解码;

完成解码并验证签名通过后,对Token中的exp、nbf、aud等信息进行验证;全部通过后,根据获取的用户的角色权限信息,进行对请求的资源的权限逻辑判断;

如果权限逻辑判断通过则通过Response对象返回;否则则返回HTTP 401;

三、java代码实现

1、用户登录:

用户登录验证通过后添加以下代码

String token = JwtUtil().generateToken(userName);
Cookie cookie = new Cookie("autotoken", token);
response.addCookie(cookie);

2、调用http请求

后续的http请求认证都带上token

3、应用系统认证

编写一个过滤器,对每一个请求进行解码认证

String authToken = request.getHeader(this.tokenHeader);
 if (jwtTokenUtil.validateToken(authToken) {
   //认证通过
}

-END-

本文分享自微信公众号 - java思维导图(java-mindmap)

原文出处及转载信息见文内详细说明,如有侵权,请联系 yunjia_community@tencent.com 删除。

原始发表时间:2019-08-25

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

我来说两句

0 条评论
登录 后参与评论

相关文章

  • 为什么强烈推荐Java程序员使用Google Guava编程

    目前Google Guava在实际应用中非常广泛,本篇博客将以博主对Guava使用的认识以及在项目中的经验来给大家分享!学习使用Google Guava可以让你...

    java思维导图
  • 使用Google Guava快乐编程

    链接:http://blog.51cto.com/zhangfengzhe/1912897

    java思维导图
  • 彻底弄懂高内聚与低耦合

    模块就是从逻辑上将系统分解为更细微的部分, 分而治之, 复杂问题拆解为若干简单问题, 逐个解决。

    java思维导图
  • 基于TensorFlow的机器学习速成课程25讲视频全集(13-15讲)

    WZEARW
  • .Net Core 认证系统源码解析

    不知不觉.Net Core已经推出到3.1了,大多数以.Net为技术栈的公司也开始逐步的切换到了Core,从业也快3年多了,一直坚持着.不管环境怎...

    郑小超.
  • Swift 5.2 将KeyPaths用作函数

    Swift 5.2的新功能之一:能够将KeyPaths用作函数。如果您只在闭包中返回某个KeyPath的值,这将非常有用。

    韦弦zhy
  • Gson在java中的简要使用

    最近在把一个数组或字符串转化成对象时,使用了Google的Gson感觉不错,下面我以代码的形式详细举例来介绍

    用户5166556
  • 一款很不错的FLASH时种插件

    小小许
  • Spring Batch 4.2 新特性

    本发行版本介绍了可以让你通过使用 Micrometer 来监控你的批量作业。在默认的情况下,Spring Batch 将会收集相关批量指标(包括,作业时间,步骤...

    HoneyMoose
  • Spring Batch 4.2 新特性

    本发行版本介绍了可以让你通过使用 Micrometer 来监控你的批量作业。在默认的情况下,Spring Batch 将会收集相关批量指标(包括,作业时间,步骤...

    HoneyMoose

扫码关注云+社区

领取腾讯云代金券