首頁手記 JWT單點登錄項目實戰詳解

JWT單點登錄項目實戰詳解

標簽：

Java 架構安全

概述

本文介绍了JWT单点登录项目的实现细节，包括JWT的基本原理和单点登录的概念。通过具体示例展示了如何在Node.js和Express框架中实现用户认证、发放JWT令牌以及验证和刷新令牌的过程。文章还介绍了如何进行单元测试、集成测试和安全性测试，确保项目的完整性和安全性。JWT单点登录项目实战涵盖了从理论到实践的全方位指导，包括用户认证、发放JWT令牌、验证和刷新令牌，以及测试和安全最佳实践。

什么是JWT单点登录

JWT简介

JWT（JSON Web Token）是一种开放标准（RFC 7519），用于在各方之间安全地传输信息。JWT由三部分组成：头部（Header）、有效载荷（Payload）和签名（Signature）。这种格式使得JWT可以在HTTP头或URL中安全传输，同时保证数据在传输过程中不会被篡改。

JWT的头部通常包含令牌的类型（即JWT）和所使用的签名算法。例如：

{
  "alg": "HS256",
  "typ": "JWT"
}

有效载荷部分包含声明（claims），这些声明是关于实体（通常是指用户）和其他数据的数据声明。例如：

{
  "sub": "1234567890",
  "name": "John Doe",
  "iat": 1516239022
}

签名部分由头部、有效载荷和一个密钥（通常是一个秘密密钥）通过哈希算法生成。此签名用于验证JWT的完整性和真实性。接收方通过相同的算法使用相同的密钥可以计算出签名，如果计算得到的签名与接收到的签名一致，就可以确认数据在传输过程中没有被篡改。

单点登录的概念

单点登录（Single Sign-On，SSO）是指用户通过一次身份认证即可访问多个相关或无关的应用系统，无需重复登录。这种机制提高了用户体验，减少了用户输入密码的次数，同时也简化了系统维护。

JWT在单点登录中的应用

JWT可以用于实现单点登录的主要原因是其无状态性和可传递性。无状态性意味着服务器不需要在会话中存储任何用户信息，这减少了服务器的内存消耗。可传递性使得JWT可以在不同的客户端之间传递，用户可以使用JWT访问多个不同的服务。

在使用JWT实现SSO时，通常会在用户登录成功后生成一个包含用户信息的JWT，并将其发送给客户端（如网页或移动应用）。客户端可以在后续的每一次请求中携带这个JWT，以便服务器验证用户身份和权限，从而实现单点登录的效果。

JWT单点登录的基本原理

JWT的构成

如前所述，JWT由三部分组成：

头部（Header）：包含令牌的类型（JWT）和所使用的签名算法。
有效载荷（Payload）：包含一个或多个声明，声明可以是关于用户的数据，也可以是关于令牌的时间戳等元数据。
签名（Signature）：用于验证令牌是否被篡改过的哈希值。

生成JWT的过程

生成一个JWT通常包括以下步骤：

创建头部（Header）：指定令牌的类型（JWT）和签名算法。
创建有效载荷（Payload）：包含用户信息或其他声明。
将头部和有效载荷进行Base64编码。
使用共享密钥（或公钥）对编码后的头部和有效载荷进行哈希计算，得到签名。
将头部、有效载荷和签名通过.分隔符拼接成一个字符串。

例如，使用Node.js来创建一个JWT：

const jwt = require('jsonwebtoken');
const secret = 'my_secret_key';

const token = jwt.sign({
  id: 123,
  username: 'john_doe'
}, secret, { algorithm: 'HS256' });
console.log(token); // 输出令牌

验证JWT的过程

验证JWT的过程与生成JWT的过程类似，但需要额外验证签名的有效性：

解码头部和有效载荷。
使用相同的密钥（或公钥）对头部和有效载荷进行哈希计算，得到签名。
比较计算得到的签名与JWT中的签名是否一致。
检查有效载荷中的声明是否符合预期（例如，token是否未过期）。

例如，使用Node.js来验证一个JWT：

const jwt = require('jsonwebtoken');
const secret = 'my_secret_key';

try {
  const decoded = jwt.verify(token, secret, { algorithms: ['HS256'] });
  console.log(decoded); // 输出验证后的payload
} catch (err) {
  console.log('无效的JWT: ', err);
}

搭建JWT单点登录环境

准备开发环境

确保你已经安装了必要的开发工具，例如Node.js（或Java、Python等），以及必要的文本编辑器或IDE（如VS Code、IntelliJ IDEA等）。你还需要一个数据库（如PostgreSQL、MySQL等）用于存储用户信息。

选择开发语言和框架

选择一种你熟悉的编程语言和适合的框架。常用的适合JWT实施的框架包括：

Node.js：Express
Java：Spring Boot
Python：Flask/Django

安装必要的依赖库

根据所选语言和框架，安装必要的依赖库。例如，使用Node.js和Express：

npm install express jsonwebtoken bcryptjs

实现JWT单点登录功能

用户认证与授权

用户认证通常涉及验证用户提供的凭证（例如用户名和密码）。这可以通过数据库查询、LDAP查询或OAuth服务器等方式完成。一旦验证成功，就可以发放JWT令牌。

示例代码（Node.js + Express）：

const express = require('express');
const jwt = require('jsonwebtoken');
const bcrypt = require('bcryptjs');

const app = express();
const users = [
  { id: 1, username: 'john', password: bcrypt.hashSync('secret', 10) }
];

app.post('/login', (req, res) => {
  const { username, password } = req.body;
  const user = users.find(u => u.username === username);
  if (!user) {
    return res.status(400).json({ error: '用户不存在' });
  }
  const isValid = bcrypt.compareSync(password, user.password);
  if (!isValid) {
    return res.status(400).json({ error: '密码错误' });
  }

  const token = jwt.sign({ id: user.id, username: user.username }, 'my_secret_key', { expiresIn: '1h' });
  res.json({ token });
});

app.listen(3000, () => console.log('服务启动'));

发放JWT令牌

发放JWT令牌通常发生在用户成功登录后。服务器会生成一个包含用户信息的JWT，并将其返回给客户端。

示例代码（Node.js + Express）：

app.post('/login', (req, res) => {
  // 用户验证逻辑（省略）

  const token = jwt.sign({ id: user.id, username: user.username }, 'my_secret_key', { expiresIn: '1h' });
  res.json({ token });
});

验证和刷新令牌

在每次请求时，客户端需要将JWT传递给服务器。服务器通过验证JWT来确认用户的身份。如果JWT即将过期，服务器可以返回一个新的JWT（即刷新令牌）。

示例代码（Node.js + Express）：

app.get('/profile', (req, res) => {
  const token = req.headers.authorization.split(' ')[1];
  jwt.verify(token, 'my_secret_key', (err, decoded) => {
    if (err) {
      return res.status(401).json({ error: '令牌无效或已过期' });
    }
    res.json({ user: decoded });
  });
});

app.post('/refresh', (req, res) => {
  const token = req.body.token;
  jwt.verify(token, 'my_secret_key', (err, decoded) => {
    if (err) {
      return res.status(401).json({ error: '令牌无效或已过期' });
    }
    const newToken = jwt.sign({ id: decoded.id, username: decoded.username }, 'my_secret_key', { expiresIn: '1h' });
    res.json({ token: newToken });
  });
});

测试JWT单点登录项目

单元测试

单元测试是用来确保每个小模块（如认证逻辑、JWT生成和验证逻辑）按预期工作的测试。

示例代码（Node.js + Mocha + Chai）：

const chai = require('chai');
const jwt = require('jsonwebtoken');
const { expect } = chai;

describe('JWT模块', () => {
  it('应能够生成有效的JWT', () => {
    const token = jwt.sign({ id: 1, username: 'john' }, 'my_secret_key');
    expect(token).to.be.a('string');
  });

  it('应能够验证有效的JWT', () => {
    const token = jwt.sign({ id: 1, username: 'john' }, 'my_secret_key');
    const decoded = jwt.verify(token, 'my_secret_key');
    expect(decoded.id).to.equal(1);
    expect(decoded.username).to.equal('john');
  });
});

集成测试

集成测试用于检查多个组件一起工作的情况，例如，用户登录并获取JWT，然后使用该JWT访问受保护的资源。

示例代码（Node.js + Supertest）：

const chai = require('chai');
const chaiHttp = require('chai-http');
const app = require('./app');
const { expect } = chai;

chai.use(chaiHttp);

describe('集成测试', () => {
  it('登录应返回有效的JWT', (done) => {
    chai.request(app)
      .post('/login')
      .send({ username: 'john', password: 'secret' })
      .end((err, res) => {
        expect(res).to.have.status(200);
        expect(res.body.token).to.be.a('string');
        done();
      });
  });

  it('应能够使用JWT访问受保护的资源', (done) => {
    chai.request(app)
      .post('/login')
      .send({ username: 'john', password: 'secret' })
      .end((err, loginRes) => {
        chai.request(app)
          .get('/profile')
          .set('Authorization', `Bearer ${loginRes.body.token}`)
          .end((err, res) => {
            expect(res).to.have.status(200);
            expect(res.body.user.username).to.equal('john');
            done();
          });
      });
  });
});

安全性测试

安全性测试是为了确保JWT和整个系统免受各种攻击，例如令牌劫持、中间人攻击等。这通常涉及渗透测试和代码审计。

示例代码（Node.js + OWASP ZAP）：

# 使用OWASP ZAP进行安全性测试
zap-cli.py -t http://localhost:3000

项目总结与常见问题解决

项目回顾

在本项目中，我们学习了JWT的基本原理、如何实现JWT单点登录，并搭建了一个简单的JWT单点登录系统。我们使用Node.js和Express创建了服务器端逻辑，同时使用JWT来验证用户身份并授权访问资源。

常见问题与解决方案

问题：令牌过期后无法自动刷新

解决方案：在每次请求时检查令牌是否即将过期，并在过期前返回一个新的JWT，或者在客户端设置自动刷新逻辑。

问题：令牌被拦截或劫持

解决方案：确保所有涉及JWT的通信都是通过安全的HTTPS连接进行的，并且使用强密钥进行签名。

进一步学习的方向

进一步学习JWT可以探索更高级的主题，例如JWT的扩展声明、多平台支持（如浏览器扩展）、JWT与OAuth集成等。此外，还可以深入了解与JWT相关的安全最佳实践，例如如何安全存储密钥、如何保护端点免受CSRF攻击等。

點擊查看更多內容

為 TA 點贊

若覺得本文不錯，就分享一下吧！

評論

評論

共同學習，寫下你的評論

評論加載中...

展開查看更多評論

作者其他優質文章

正在加載中

絕地無雙

手記
篇

粉絲

59

獲贊與收藏

328

關注作者，訂閱最新文章

閱讀免費教程

Java并發工具

23個小節 19936 322

Java 并發原理入門教程

26個小節 40386 582

Java 入門教程

50個小節 353143 3272

推薦

評論

收藏

共同學習，寫下你的評論



感謝您的支持，我會繼續努力的～

掃碼打賞，你說多少就多少

贊賞金額會直接到老師賬戶

支付方式

打開微信掃一掃，即可進行掃碼打賞哦

今天注冊有機會得

100積分直接送

付費專欄免費學

大額優惠券免費領

立即參與放棄機會

點擊
抽獎

慕課手記新用戶專享福利

恭喜你，你的運氣太好了，居然抽中了 100個積分！

恭喜你，抽中了價值元的專欄！

太棒了，直接落到你賬戶里！

積分商城里的羅技鼠標、機械鍵盤、
Kindle 閱讀器、小米平衡車
Apple iPad （10.2英寸）、大額優惠券
在等著你去兌換了噢

作者：

免費贈送

兌換碼：1111222211 復制

優惠券可用于購買實戰課、體系課
無門檻使用

先去看看，有什么好東西馬上兌換我愛學習，選課去


亚洲在线久爱草,狠狠天天香蕉网,天天搞日日干久草,伊人亚洲日本欧美

熱搜

最近搜索清空

JWT單點登錄項目實戰詳解

JWT简介

单点登录的概念

JWT在单点登录中的应用

JWT的构成

生成JWT的过程

验证JWT的过程

准备开发环境

选择开发语言和框架

安装必要的依赖库

用户认证与授权

发放JWT令牌

验证和刷新令牌

单元测试

集成测试

安全性测试

项目回顾

常见问题与解决方案

问题：令牌过期后无法自动刷新

问题：令牌被拦截或劫持

进一步学习的方向

閱讀免費教程