JWT是json web token的简称,本文介绍它的原理,最后后端用nodejs自己实现如何为客户端生成令牌token和校验token
一
为什么需要会话管理
我们用 nodejs 为前端或者其他服务提供 resful 接口时,http 协议他是一个无状态的协议,有时候我们需要根据这个请求的上下获取具体的用户是否有权限,针对用户的上下文进行操作。所以出现了cookies session还有jwt这几种技术的出现, 都是对HTTP协议的一个补充。使得我们可以用HTTP协议+状态管理构建一个的面向用户的WEB应用。
二
Session 和 cookie
session 和 cookies 是有联系的,session 就是服务端在客户端 cookies 种下的session_id, 服务端保存session_id所对应的当前用户所有的状态信息。每次客户端请求服务端都带上cookies中的session_id, 服务端判断是否有具体的用户信息,如果没有就去调整登录。
三
JWT的定义
jwt是json web token的全称,他解决了session以上的问题,优点是服务器不保存任何会话数据,即服务器变为无状态,使其更容易扩展,什么情况下使用jwt比较合适,我觉得就是授权这个场景,因为jwt使用起来轻便,开销小,后端无状态,所以使用比较广泛。
四
JWT的原理
JWT 的原理是,服务器认证以后,生成一个 JSON 对象,发回给用户,就像下面这样。
{ "姓名": "张三", "角色": "管理员", "到期时间": "2018年7月1日0点0分"}
以后,用户与服务端通信的时候,都要发回这个 JSON 对象。服务器完全只靠这个对象认定用户身份。为了防止用户篡改数据,服务器在生成这个对象的时候,会加上签名。
五
JWT的认证流程
六
JWT的数据结构
JWT 包含了使用.
风格的三个部分,包含header(头部)、Payload(荷载)以及 Signature(签名)
Header 头部
{"alg": "HS256","typ": "JWT"}// algorithm => HMAC SHA256// type => JWT
这是固定的写法,alg表面要用的是HS256算法
Payload 负载、载荷
iss (issuer):签发人
exp (expiration time):过期时间
sub (subject):主题
aud (audience):受众
nbf (Not Before):生效时间
iat (Issued At):签发时间
jti (JWT ID):编号
除了这七个,可以自定义,比如过期时间
Signature 签名
对前两部分header和payload进行签名,防止数据篡改
HMACSHA256(
base64UrlEncode(header) + "." +
base64UrlEncode(payload),
secret)
secret是一段字符串,后端保存,需要注意的是 JWT 作为一个令牌 token,有些场合可能会放到 URL(比如 api.example.com/?token=xxx)。Base64 有三个字符+、/和=,在 URL 里面有特殊含义,所以要被替换掉:=被省略、+替换成-,/替换成_ 。这就是 Base64URL 算法。
七
jwt使用方式
HTTP 请求的头信息Authorization
字段里面, Bearer也是规定好的
Authorization: Bearer <token>
通过url传输(不推荐)
http://www.xxx.com/pwa?token=xxxxx
如果是post请求也可以放在请求体中
八
在koa项目中使用
可以使用现成库,jwt-simple
或者 jsonwebtoken
let Koa = require('koa');let Router = require('koa-router');let bodyparser = require('koa-bodyparser');let jwt = require('jwt-simple');let router = new Router()let app = new Koa();app.use(bodyparser());// 可以自己自定义let secret = 'zhenglei';// 验证是否登陆router.post('/login',async(ctx)=>{ let {username,password} = ctx.request.body; if(username === 'admin' && password === 'admin'){ // 通常会查数据库,这里简单的演示 let token = jwt.encode(username, secret); ctx.body = { code:200, username, token, } }});// 验证是否有权限router.get('/validate',async(ctx)=>{ let Authorization = ctx.get('authorization') let [,token] = Authorization.split(' '); if(token){ try{ let r = jwt.decode(token,secret); ctx.body = { code:200, username:r, token } }catch(e){ ctx.body = { code:401, data:'没有登陆' } } }else{ ctx.body = { code:401, data:'没有登陆' } } });app.use(router.routes());app.listen(4000);
/login
验证是否登录,一个是 validate
,验证是否有权限
/validate
的时候,ajax请求的时候,可以在header指定authorization
字段,后端拿到token进行decode,然后将header和payload进行再一次的签名,如果前后的签名一致,说明没有被篡改过,则权限验证通过。因为是同步的过程,所以可以用try catch来捕捉错误九
原理的实现
.
来组成
let myJwt = { sign(content,secret){ let r = crypto.createHmac('sha256',secret).update(content).digest('base64'); return this.base64urlEscape(r) }, base64urlEscape(str){ return str.replace(/\+/g, '-').replace(/\//g, '_').replace(/=/g, ''); }, toBase64(content){ return this.base64urlEscape(Buffer.from(JSON.stringify(content)).toString('base64')) }, encode(username,secret){ let header = this.toBase64({ typ: 'JWT', alg: 'HS256' }); let content = this.toBase64(username); let sign = this.sign([header,content].join('.'),secret); return [header,content,sign].join('.') }, base64urlUnescape(str) { str += new Array(5 - str.length % 4).join('='); return str.replace(/\-/g, '+').replace(/_/g, '/'); }, decode(token,secret){ let [header,content,sign] = token.split('.'); let newSign = this.sign([header,content].join('.'),secret); if(sign === newSign){ return Buffer.from(this.base64urlUnescape(content),'base64').toString(); }else{ throw new Error('被篡改') } }}
十
JWT的优缺点
IMWeb 团队隶属腾讯公司,是国内最专业的前端团队之一。
我们专注前端领域多年,负责过 QQ 资料、QQ 注册、QQ 群等亿级业务。目前聚焦于在线教育领域,精心打磨 腾讯课堂、企鹅辅导 及 ABCMouse 三大产品。
扫码关注 腾讯IMWeb前端团队