服务器之家：专注于服务器技术及软件下载分享
分类导航

PHP教程|ASP.NET教程|JAVA教程|ASP教程|编程技术|正则表达式|C/C++|IOS|C#|Swift|Android|JavaScript|易语言|

服务器之家 - 编程语言 - JAVA教程 - 详解SpringCloud服务认证（JWT）

详解SpringCloud服务认证（JWT）

2021-03-27 14:16唐亚峰 JAVA教程

本篇文章主要介绍了SpringCloud服务认证（JWT），小编觉得挺不错的，现在分享给大家，也给大家做个参考。一起跟随小编过来看看吧

 - jwt

 

jwt（json web token）, 是为了在网络应用环境间传递声明而执行的一种基于json的开放标准（(rfc 7519).该token被设计为紧凑且安全的，特别适用于分布式站点的单点登录（sso）场景。jwt的声明一般被用来在身份提供者和服务提供者间传递被认证的用户身份信息，以便于从资源服务器获取资源，也可以增加一些额外的其它业务逻辑所必须的声明信息，该token也可直接被用于认证，也可被加密。

- jwt与其它的区别

 

通常情况下，把api直接暴露出去是风险很大的，不说别的，直接被机器攻击就喝一壶的。那么一般来说，对api要划分出一定的权限级别，然后做一个用户的鉴权，依据鉴权结果给予用户开放对应的api。目前，比较主流的方案有几种:

oauth

oauth（开放授权）是一个开放的授权标准，允许用户让第三方应用访问该用户在某一服务上存储的私密的资源（如照片，视频），而无需将用户名和密码提供给第三方应用。

oauth 允许用户提供一个令牌，而不是用户名和密码来访问他们存放在特定服务提供者的数据。每一个令牌授权一个特定的第三方系统（例如，视频编辑网站)在特定的时段（例如，接下来的2小时内）内访问特定的资源（例如仅仅是某一相册中的视频）。这样，oauth让用户可以授权第三方网站访问他们存储在另外服务提供者的某些特定信息，而非所有内容

cookie/session auth

cookie认证机制就是为一次请求认证在服务端创建一个session对象，同时在客户端的浏览器端创建了一个cookie对象；通过客户端带上来cookie对象来与服务器端的session对象匹配来实现状态管理的。默认的，当我们关闭浏览器的时候，cookie会被删除。但可以通过修改cookie 的expire time使cookie在一定时间内有效，基于session方式认证势必会对服务器造成一定的压力（内存存储），不易于扩展（需要处理分布式session），跨站请求伪造的攻击（csrf）

- jwt的优点

 

1.相比于session，它无需保存在服务器，不占用服务器内存开销。

2.无状态、可拓展性强：比如有3台机器（a、b、c）组成服务器集群，若session存在机器a上，session只能保存在其中一台服务器，此时你便不能访问机器b、c，因为b、c上没有存放该session，而使用token就能够验证用户请求合法性，并且我再加几台机器也没事，所以可拓展性好就是这个意思。

3.前后端分离，支持跨域访问。

- jwt的组成

?
1
2
3
4
5
6
7
8
9
10
{ "iss": "jwt builder",
 "iat": 1416797419,
 "exp": 1448333419,
 "aud": "www.battcn.com",
 "sub": "1837307557@qq.com",
 "givenname": "levin",
 "surname": "levin",
 "email": "1837307557@qq.com",
 "role": [ "admin", "member" ]
}
  1.  iss: 该jwt的签发者，是否使用是可选的；
  2. sub: 该jwt所面向的用户，是否使用是可选的；
  3. aud: 接收该jwt的一方，是否使用是可选的；
  4. exp(expires): 什么时候过期，这里是一个unix时间戳，是否使用是可选的；
  5. iat(issued at): 在什么时候签发的(unix时间)，是否使用是可选的；
  6. nbf (not before)：如果当前时间在nbf里的时间之前，则token不被接受；一般都会留一些余地，比如几分钟；，是否使用是可选的；

详解SpringCloud服务认证（JWT）

一个jwt实际上就是一个字符串，它由三部分组成，头部、载荷、签名（上图依次排序）

jwt token生成器：

- 认证

 

详解SpringCloud服务认证（JWT）

- 登陆认证

  1. 客户端发送 post 请求到服务器，提交登录处理的controller层
  2. 调用认证服务进行用户名密码认证，如果认证通过，返回完整的用户信息及对应权限信息
  3. 利用 jjwt 对用户、权限信息、秘钥构建token
  4. 返回构建好的token

详解SpringCloud服务认证（JWT）

- 请求认证

  1. 客户端向服务器请求，服务端读取请求头信息(request.header)获取token
  2. 如果找到token信息，则根据配置文件中的签名加密秘钥，调用jjwt lib对token信息进行解密和解码；
  3. 完成解码并验证签名通过后，对token中的exp、nbf、aud等信息进行验证；
  4. 全部通过后，根据获取的用户的角色权限信息，进行对请求的资源的权限逻辑判断；
  5. 如果权限逻辑判断通过则通过response对象返回；否则则返回http 401；

无效token

详解SpringCloud服务认证（JWT）

有效token

详解SpringCloud服务认证（JWT）

- jwt的缺点

 

有优点就会有缺点，是否适用应该考虑清楚，而不是技术跟风

  1. token过大容易占用更多的空间
  2. token中不应该存储敏感信息
  3. jwt不是 session ，勿将token当session
  4. 无法作废已颁布的令牌，因为所有的认证信息都在jwt中，由于在服务端没有状态，即使你知道了某个jwt被盗取了，你也没有办法将其作废。在jwt过期之前（你绝对应该设置过期时间），你无能为力。
  5. 类似缓存，由于无法作废已颁布的令牌，在其过期前，你只能忍受”过期”的数据（自己放出去的token，含着泪也要用到底）。

- 代码（片段）

 

tokenproperties 与 application.yml资源的key映射，方便使用

?
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
@configuration
@configurationproperties(prefix = "battcn.security.token")
public class tokenproperties {
 /**
 * {@link com.battcn.security.model.token.token} token的过期时间
 */
 private integer expirationtime;
 
 /**
 * 发行人
 */
 private string issuer;
 
 /**
 * 使用的签名key {@link com.battcn.security.model.token.token}.
 */
 private string signingkey;
 
 /**
 * {@link com.battcn.security.model.token.token} 刷新过期时间
 */
 private integer refreshexptime;
 
 // get set ...
}

token生成的类

?
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
@component
public class tokenfactory {
 
 private final tokenproperties properties;
 
 @autowired
 public tokenfactory(tokenproperties properties) {
 this.properties = properties;
 }
 
 /**
 * 利用jjwt 生成 token
 * @param context
 * @return
 */
 public accesstoken createaccesstoken(usercontext context) {
 optional.ofnullable(context.getusername()).orelsethrow(()-> new illegalargumentexception("cannot create token without username"));
 optional.ofnullable(context.getauthorities()).orelsethrow(()-> new illegalargumentexception("user doesn't have any privileges"));
 claims claims = jwts.claims().setsubject(context.getusername());
 claims.put("scopes", context.getauthorities().stream().map(object::tostring).collect(tolist()));
 localdatetime currenttime = localdatetime.now();
 string token = jwts.builder()
  .setclaims(claims)
  .setissuer(properties.getissuer())
  .setissuedat(date.from(currenttime.atzone(zoneid.systemdefault()).toinstant()))
  .setexpiration(date.from(currenttime
  .plusminutes(properties.getexpirationtime())
  .atzone(zoneid.systemdefault()).toinstant()))
  .signwith(signaturealgorithm.hs512, properties.getsigningkey())
 .compact();
 return new accesstoken(token, claims);
 }
 
 /**
 * 生成 刷新 refreshtoken
 * @param usercontext
 * @return
 */
 public token createrefreshtoken(usercontext usercontext) {
 if (stringutils.isblank(usercontext.getusername())) {
  throw new illegalargumentexception("cannot create token without username");
 }
 localdatetime currenttime = localdatetime.now();
 claims claims = jwts.claims().setsubject(usercontext.getusername());
 claims.put("scopes", arrays.aslist(scopes.refresh_token.authority()));
 string token = jwts.builder()
  .setclaims(claims)
  .setissuer(properties.getissuer())
  .setid(uuid.randomuuid().tostring())
  .setissuedat(date.from(currenttime.atzone(zoneid.systemdefault()).toinstant()))
  .setexpiration(date.from(currenttime
  .plusminutes(properties.getrefreshexptime())
  .atzone(zoneid.systemdefault()).toinstant()))
  .signwith(signaturealgorithm.hs512, properties.getsigningkey())
 .compact();
 
 return new accesstoken(token, claims);
 }
}

配置文件，含token过期时间，秘钥，可自行扩展

?
1
2
3
4
5
6
7
battcn:
 security:
 token:
 expiration-time: 10 # 分钟 1440
 refresh-exp-time: 30 # 分钟 2880
 issuer: http://blog.battcn.com
 signing-key: battcn

websecurityconfig 是 spring security 关键配置，在securrty中基本上可以通过定义过滤器去实现我们想要的功能.

?
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
@configuration
@enablewebsecurity
public class websecurityconfig extends websecurityconfigureradapter {
 
 public static final string token_header_param = "x-authorization";
 public static final string form_based_login_entry_point = "/api/auth/login";
 public static final string token_based_auth_entry_point = "/api/**";
 public static final string manage_token_based_auth_entry_point = "/manage/**";
 public static final string token_refresh_entry_point = "/api/auth/token";
 
 @autowired private restauthenticationentrypoint authenticationentrypoint;
 @autowired private authenticationsuccesshandler successhandler;
 @autowired private authenticationfailurehandler failurehandler;
 @autowired private loginauthenticationprovider loginauthenticationprovider;
 @autowired private tokenauthenticationprovider tokenauthenticationprovider;
 
 @autowired private tokenextractor tokenextractor;
 
 @autowired private authenticationmanager authenticationmanager;
 
 protected loginprocessingfilter buildloginprocessingfilter() throws exception {
 loginprocessingfilter filter = new loginprocessingfilter(form_based_login_entry_point, successhandler, failurehandler);
 filter.setauthenticationmanager(this.authenticationmanager);
 return filter;
 }
 
 protected tokenauthenticationprocessingfilter buildtokenauthenticationprocessingfilter() throws exception {
 list<string> list = lists.newarraylist(token_based_auth_entry_point,manage_token_based_auth_entry_point);
 skippathrequestmatcher matcher = new skippathrequestmatcher(list);
 tokenauthenticationprocessingfilter filter = new tokenauthenticationprocessingfilter(failurehandler, tokenextractor, matcher);
 filter.setauthenticationmanager(this.authenticationmanager);
 return filter;
 }
 
 @bean
 @override
 public authenticationmanager authenticationmanagerbean() throws exception {
 return super.authenticationmanagerbean();
 }
 
 @override
 protected void configure(authenticationmanagerbuilder auth) {
 auth.authenticationprovider(loginauthenticationprovider);
 auth.authenticationprovider(tokenauthenticationprovider);
 }
 
 @override
 protected void configure(httpsecurity http) throws exception {
 http
 .csrf().disable() // 因为使用的是jwt，因此这里可以关闭csrf了
 .exceptionhandling()
 .authenticationentrypoint(this.authenticationentrypoint)
 .and()
  .sessionmanagement()
  .sessioncreationpolicy(sessioncreationpolicy.stateless)
 .and()
  .authorizerequests()
  .antmatchers(form_based_login_entry_point).permitall() // login end-point
  .antmatchers(token_refresh_entry_point).permitall() // token refresh end-point
 .and()
  .authorizerequests()
  .antmatchers(token_based_auth_entry_point).authenticated() // protected api end-points
  .antmatchers(manage_token_based_auth_entry_point).hasanyrole(roleenum.admin.name())
 .and()
  .addfilterbefore(buildloginprocessingfilter(), usernamepasswordauthenticationfilter.class)
  .addfilterbefore(buildtokenauthenticationprocessingfilter(), usernamepasswordauthenticationfilter.class);
 }
}

- 说点什么

 

由于jwt代码做了简单封装，包含内容较多，所以文章里只贴主要片段，需要完整代码可以直接从下面git获取

本章代码（battcn-jwt-service）：battcn-cloud.rar

以上就是本文的全部内容，希望对大家的学习有所帮助，也希望大家多多支持服务器之家。

原文链接：http://blog.csdn.net/memmsc/article/details/78122931

  • JWT
  • SpringCloud

    • 延伸 · 阅读

    精彩推荐
    • JAVA教程基于spring boot 的配置参考大全(推荐)

      基于spring boot 的配置参考大全(推荐)

      下面小编就为大家带来一篇基于spring boot 的配置参考大全(推荐)。小编觉得挺不错的，现在就分享给大家，也给大家做个参考。一起跟随小编过来看看吧...

      Think-0079892020-12-26
    • JAVA教程log4j2日志异步打印(实例讲解)

      log4j2日志异步打印(实例讲解)

      下面小编就为大家带来一篇log4j2日志异步打印(实例讲解)。小编觉得挺不错的，现在就分享给大家，也给大家做个参考。一起跟随小编过来看看吧...

      wunan23的日志5232021-01-23
    • JAVA教程浅谈Java三大框架与应用

      浅谈Java三大框架与应用

      这篇文章主要介绍了浅谈Java三大框架与应用,需要的朋友可以参考下 ...

      mdxy-dxy3722019-12-17
    • JAVA教程java web个人通讯录系统设计

      java web个人通讯录系统设计

      这篇文章主要为大家详细介绍了java web个人通讯录系统设计，文中示例代码介绍的非常详细，具有一定的参考价值，感兴趣的小伙伴们可以参考一下 ...

      kang_ya_ping3092020-07-30
    • JAVA教程JDBC用法小结

      JDBC用法小结

      这篇文章主要介绍了JDBC用法,较为详细的分析了基于JDBC进行数据库操作的技巧,具有一定参考借鉴价值,需要的朋友可以参考下 ...

      shichen20143532019-12-07
    • JAVA教程java 二分法算法的实例

      java 二分法算法的实例

      这篇文章主要介绍了java 二分法算法的实例的相关资料,希望通过本文大家能够掌握二分法，需要的朋友可以参考下...

      wely1962020-12-24
    • JAVA教程Java上传视频实例代码

      Java上传视频实例代码

      本文通过实例代码给大家讲解了java上传视频功能，代码分为页面前台和后台，工具类，具体实例代码大家通过本文学习吧...

      smart_hwt9142021-03-17
    • JAVA教程详解Java中ByteArray字节数组的输入输出流的用法

      详解Java中ByteArray字节数组的输入输出流的用法

      ByteArrayInputStream和ByteArrayOutputStream分别集成自InputStream和OutputStream这两个输入和输出流,这里我们就来详解Java中ByteArray字节数组的输入输出流的用法,需要的朋...

      skywang4582020-05-18
    最近更新
    编辑推荐
    阅读排行
    热门标签
    501 　 406 　 2000 　 1433 　 415 　 401 　 空心菱形 　 选择排序法 　 随机抽取 　 内存卡 　 下载器 　 十六进制字符 　 响应 　 静态工厂 　 构造函数 　 swt 　 Overview 　 对象池模式 　 子线程 　 短信猫 　 htmlparser 　 支票 　 金额大写转换 　 正三角 　 AspectJ 　 面向切面编程 　 方法名 　 网址信息 　 动态代理模式 　 线程安全 　
    © 2019-2021 服务器之家(www.zzvips.com) 版权所有关于我们联系我们版权申明网站地图