亚洲在线久爱草,狠狠天天香蕉网,天天搞日日干久草,伊人亚洲日本欧美

為了賬號安全，請及時綁定郵箱和手機立即綁定

JWT單點登錄原理學習：簡單教程

標簽：
架構 安全
概述

JWT单点登录原理学习涵盖了JWT的基础知识、单点登录的概念以及JWT如何实现单点登录的详细步骤，包括生成、签名和验证JWT令牌的过程。文章还提供了实战演练和代码示例，帮助读者理解和实现JWT单点登录。

JWT基础知识简介

JWT的定义和作用

JSON Web Token (JWT) 是一种开放标准（RFC 7519），用于身份验证和信息交换。它是一种紧凑、自包含的方式，用于在通信双方之间传输信息。JWT常用于实现前后端分离的系统中的身份验证和授权，通过在HTTP头中传递包含用户信息的JWT，服务器可以验证用户的身份并进行权限控制。

JWT的组成结构

JWT通常由三部分组成：头部（Header）、载荷（Payload）和签名（Signature）。

  • 头部（Header）: 包含了声明类型（typ）和加密算法（alg）。 
    {
"alg": "HS256",
"typ": "JWT"
}
  • 载荷（Payload）: 包含了声明（Claims），这些声明可以分为三类：
    • 注册声明（Registered Claims）: 这些声明是JWT标准的一部分，但不是强制性的，例如iss（发行者）、exp（过期时间）、sub（主题）、iat（签发时间）。
    • 公开声明（Public Claims）: 这些声明由应用程序根据需要定义，例如用户ID或权限。
    • 私有声明（Private Claims）: 这些声明由应用程序自定义，不推荐用于安全目的。
    • 示例载荷： 
      {
"sub": "1234567890",
"name": "John Doe",
"iat": 1516239022
}
  • 签名（Signature）: 通过Header和Payload生成一个签名，以验证Token的合法性和完整性。 
    HMACSHA256(
base64UrlEncode(header) + "." +
base64UrlEncode(payload),
secret
)

    其中secret为服务器端的密钥，用于保证Token的不可篡改性。

JWT的优缺点

优点:

  • 紧凑性: JWT是JSON格式的，非常适合HTTP请求的Header携带。
  • 无状态性: 服务器不需要存储JWT，降低了服务器的负担。
  • 安全性较高: 使用加密算法保证了Token的不可篡改性。
  • 灵活性: 可以携带多种类型的数据，适用于各种应用场景。

缺点:

  • 安全性依赖于密钥: 如果密钥泄露，攻击者可以伪造Token。
  • 载荷有限: 某些浏览器的Cookie大小限制可能会影响载荷的大小。
  • 安全性问题: 如果没有正确配置，JWT的过期时间过长可能导致安全风险。
单点登录概述

单点登录的基本概念

单点登录（Single Sign-On，SSO）是一种身份验证机制，允许用户通过一次登录访问多个相关系统或服务。它使得用户不再需要多次输入用户名和密码，简化了操作流程。SSO通常需要一个中央身份验证服务，负责管理用户的身份验证，并将验证结果传递给其他相关系统。

单点登录的好处

  • 提高用户体验: 用户只需一次登录即可访问多个系统，简化了操作流程。
  • 安全性更强: 集中管理用户身份，降低了密码泄露的风险。
  • 降低维护成本: 通过统一的身份验证服务，减轻了各系统的维护负担。

常见的单点登录实现方式

  • 基于Cookie的SSO: 用户登录后，服务器将Token或Cookie返回给客户端。
  • 基于Token的SSO: 使用JWT等Token实现，无需依赖Cookie，增强了跨域访问的能力。
  • 基于LDAP/Kerberos的SSO: 企业级应用中常使用LDAP或Kerberos进行身份验证。
  • 基于OAuth/OpenID Connect的SSO: OAuth是授权协议，OpenID Connect在其基础上增加了身份验证。
JWT实现单点登录的原理

使用JWT进行身份验证的步骤

  1. 客户端请求: 用户访问登录页面，输入用户名和密码。
  2. 服务器验证: 服务器验证用户信息，如果验证通过，生成JWT Token。
  3. Token返回: 服务器将生成的JWT Token返回给客户端。
  4. 客户端存储Token: 客户端存储JWT Token，通常存放在Cookie或LocalStorage中。
  5. Token传递: 在每次请求时，客户端将JWT Token附加到HTTP请求头中。
  6. 服务器验证Token: 服务器验证Token的合法性，如果有效，则允许访问资源。

JWT在单点登录中的应用

JWT在单点登录中主要解决跨域访问的问题。通过JWT实现单点登录，用户在一个系统登录后，可以访问多个系统，而不需要在每个系统中都进行登录。JWT的无状态特性使得它可以很容易地实现跨域访问。

JWT令牌的生成、签名和验证过程

  1. 生成Token: 通过用户信息生成JWT Token。

    def generate_jwt_token(user_id, username, secret):
  import jwt
  payload = {
      'user_id': user_id,
      'username': username,
      'exp': int(time.time()) + 86400  # Token过期时间
  }
  token = jwt.encode(payload, secret, algorithm='HS256')
  return token
    const generateJwtToken = (userId, username, secret) => {
  const payload = {
      user_id: userId,
      username: username,
      exp: Math.floor(Date.now() / 1000) + 86400  // Token过期时间
  };
  const token = jwt.sign(payload, secret, { algorithm: 'HS256' });
  return token;
};

  2. 签名Token: 使用私钥（secret）对JWT Token进行签名。

    token = jwt.encode(payload, secret, algorithm='HS256')
    const token = jwt.sign(payload, secret, { algorithm: 'HS256' });
  3. 验证Token: 在服务器端接收JWT Token后，使用相同的私钥进行解码验证。 
    def validate_jwt_token(token, secret):
  try:
      payload = jwt.decode(token, secret, algorithms=['HS256'])
      return payload
  except jwt.ExpiredSignatureError:
      return 'Token已过期'
  except jwt.InvalidTokenError:
      return 'Token无效'
    const validateJwtToken = (token, secret) => {
  try {
      const payload = jwt.verify(token, secret, { algorithms: ['HS256'] });
      return payload;
  } catch (error) {
      if (error.name === 'TokenExpiredError') {
          return 'Token已过期';
      } else {
          return 'Token无效';
      }
  }
};
实战演练：JWT单点登录的实现

准备工作和工具介绍

实现JWT单点登录需要以下工具和环境：

  • 编程语言: Python、Node.js等
  • 开发环境: Python的Flask框架、Node.js的Express框架
  • 数据库: MySQL、MongoDB等
  • 安全工具: JWT库（如PyJWT、jsonwebtoken）

步骤详解

  1. 创建用户表: 在数据库中创建用户表，用于存储用户信息。

    CREATE TABLE users (
  id INT AUTO_INCREMENT PRIMARY KEY,
  username VARCHAR(50) NOT NULL,
  password VARCHAR(255) NOT NULL,
  created_at TIMESTAMP DEFAULT CURRENT_TIMESTAMP
);

  2. 实现用户登录接口: 当用户登录时，生成JWT Token并返回给客户端。

    from flask import Flask, request
import jwt
import datetime

app = Flask(__name__)
secret = 'your_secret_key'

@app.route('/login', methods=['POST'])
def login():
  username = request.form.get('username')
  password = request.form.get('password')
  # 这里进行数据库查询，验证用户名和密码
  if username == 'user' and password == 'password':
      payload = {
          'user_id': 1,
          'username': username,
          'exp': datetime.datetime.utcnow() + datetime.timedelta(days=1)
      }
      token = jwt.encode(payload, secret, algorithm='HS256')
      return {'token': token}
  else:
      return '登录失败', 401

if __name__ == '__main__':
  app.run(debug=True)
    const express = require('express');
const jwt = require('jsonwebtoken');
const app = express();

const secret = 'your_secret_key';

app.use(express.urlencoded({ extended: true }));

app.post('/login', (req, res) => {
  const { username, password } = req.body;
  // 这里进行数据库查询，验证用户名和密码
  if (username === 'user' && password === 'password') {
      const payload = {
          user_id: 1,
          username: username,
          exp: Math.floor(Date.now() / 1000) + 86400
      };
      const token = jwt.sign(payload, secret, { algorithm: 'HS256' });
      res.json({ token });
  } else {
      res.status = 401;
      res.send('登录失败');
  }
});

app.listen(3000, () => {
  console.log('Server is running on port 3000');
});
  3. 验证Token: 在每次请求中，验证JWT Token的合法性。 
    @app.route('/protected', methods=['GET'])
def protected():
  token = request.headers.get('Authorization')
  if not token:
      return '未授权', 401
  try:
      payload = jwt.decode(token, secret, algorithms=['HS256'])
      return {'message': '授权成功'}
  except jwt.ExpiredSignatureError:
      return 'Token已过期', 401
  except jwt.InvalidTokenError:
      return 'Token无效', 401
    app.get('/protected', (req, res) => {
  const token = req.headers.authorization;
  if (!token) {
      res.status = 401;
      res.send('未授权');
      return;
  }
  try {
      const payload = jwt.verify(token, secret, { algorithms: ['HS256'] });
      res.json({ message: '授权成功' });
  } catch (error) {
      if (error.name === 'TokenExpiredError') {
          res.status = 401;
          res.send('Token已过期');
      } else {
          res.status = 401;
          res.send('Token无效');
      }
  }
});

代码示例

以下是一个使用Python Flask实现的JWT单点登录的完整示例代码。

from flask import Flask, request, jsonify
import jwt
import datetime

app = Flask(__name__)
secret = 'your_secret_key'

@app.route('/login', methods=['POST'])
def login():
    username = request.form.get('username')
    password = request.form.get('password')
    # 这里进行数据库查询，验证用户名和密码
    if username == 'user' and password == 'password':
        payload = {
            'user_id': 1,
            'username': username,
            'exp': datetime.datetime.utcnow() + datetime.timedelta(days=1)
        }
        token = jwt.encode(payload, secret, algorithm='HS256')
        return jsonify({'token': token})
    else:
        return jsonify({'message': '登录失败'}), 401

@app.route('/protected', methods=['GET'])
def protected():
    token = request.headers.get('Authorization')
    if not token:
        return jsonify({'message': '未授权'}), 401
    try:
        payload = jwt.decode(token, secret, algorithms=['HS256'])
        return jsonify({'message': '授权成功'})
    except jwt.ExpiredSignatureError:
        return jsonify({'message': 'Token已过期'}), 401
    except jwt.InvalidTokenError:
        return jsonify({'message': 'Token无效'}), 401

if __name__ == '__main__':
    app.run(debug=True)
常见问题及解决方案

JWT和安全性相关的问题

  • 密钥泄露: 如果JWT的签名密钥泄露，攻击者可以伪造Token。
    • 解决方案: 使用安全的方式管理密钥，定期更换密钥。
  • Token劫持: 用户Token可能被劫持，导致非法访问。
    • 解决方案: 设置Token的有效期，过期后重新生成Token。
  • 不安全的算法: 使用不安全的加密算法。
    • 解决方案: 使用安全的加密算法，如HS256或RS256。

JWT的一般性问题及解答

  • Token过期时间设置: 如何设置合理的过期时间？
    • 解决方案: 根据应用场景设置合理的过期时间，例如登录后24小时。
  • Token大小限制: 是否存在Token大小限制？
    • 解决方案: 尽量减少Token的载荷，保证Token大小在安全范围内。
  • Token过期后的处理: 用户需要重新登录吗？
    • 解决方案: 设置自动刷新Token机制，或引导用户重新登录。

防止JWT被篡改和劫持的措施

  • 加密算法: 使用安全的加密算法，如HS256或RS256。
  • Token有效期: 设置合理的过期时间，过期后需要重新登录。
  • 刷新Token: 实现Token刷新机制，确保Token一直有效。 
    @app.route('/refresh_token', methods=['POST'])
def refresh_token():
  token = request.headers.get('Authorization')
  if not token:
      return jsonify({'message': '未授权'}), 401
  try:
      payload = jwt.decode(token, secret, algorithms=['HS256'])
      new_token = jwt.encode(payload, secret, algorithm='HS256')
      return jsonify({'token': new_token})
  except jwt.ExpiredSignatureError:
      return jsonify({'message': 'Token已过期'}), 401
  except jwt.InvalidTokenError:
      return jsonify({'message': 'Token无效'}), 401
    app.post('/refresh_token', (req, res) => {
  const token = req.headers.authorization;
  if (!token) {
      res.status = 401;
      res.send('未授权');
      return;
  }
  try {
      const payload = jwt.verify(token, secret, { algorithms: ['HS256'] });
      const newToken = jwt.sign(payload, secret, { algorithm: 'HS256', expiresIn: '1d' });
      res.json({ token: newToken });
  } catch (error) {
      if (error.name === 'TokenExpiredError') {
          res.status = 401;
          res.send('Token已过期');
      } else {
          res.status = 401;
          res.send('Token无效');
      }
  }
});
  • HTTPS: 使用HTTPS协议传输Token。
  • Token存储: 将Token存储在LocalStorage中，而不是Cookie中。
总结和学习资源推荐

JWT单点登录通过使用JWT Token实现了无状态的认证机制，使得用户在多个系统间可以进行一次登录，简化了操作流程。通过合理设置Token的有效期和刷新机制，可以提高系统的安全性和用户体验。

推荐深入学习的资料和网站

點擊查看更多內容
為 TA 點贊

若覺得本文不錯，就分享一下吧！

評論

作者其他優質文章

正在加載中
  • 推薦
  • 評論
  • 收藏
  • 共同學習，寫下你的評論
感謝您的支持，我會繼續努力的～
掃碼打賞，你說多少就多少
贊賞金額會直接到老師賬戶
支付方式
打開微信掃一掃，即可進行掃碼打賞哦
今天注冊有機會得

100積分直接送

付費專欄免費學

大額優惠券免費領

立即參與 放棄機會
微信客服

購課補貼
聯系客服咨詢優惠詳情

 幫助反饋 APP下載

慕課網APP
您的移動學習伙伴

 公眾號

掃描二維碼
關注慕課網微信公眾號

舉報

0/150
提交
取消