文章分享

開放、平等、協(xié)作、快速、分享

當前位置：首頁>文章分享

JSON Web Tokens的實現(xiàn)原理

摘錄：HCTech 無錫和控電子   時間：2020-08-07   訪問量：3352

前言

最近在做一個Python項目的改造，將python項目重構(gòu)為Java項目，過程中遇到了這個知識點，覺得這個蠻實用的，所以下班后回來趁熱打鐵寫下這篇總結(jié)，希望后面的人能夠有所借鑒，少走彎路。

一、優(yōu)勢簡介

JSON Web Tokens簡稱jwt，是rest接口的一種安全策略。本身有很多的優(yōu)勢：

解決跨域問題：這種基于Token的訪問策略可以克服cookies的跨域問題。

服務端無狀態(tài)可以橫向擴展，Token可完成認證，無需存儲Session。

系統(tǒng)解耦，Token攜帶所有的用戶信息，無需綁定一個特定的認證方案，只需要知道加密的方法和密鑰就可以進行加密解密，有利于解耦。

防止跨站點腳本攻擊，沒有cookie技術(shù)，無需考慮跨站請求的安全問題。

二、原理簡介

JSON Web Tokens的格式組成，jwt是一段被base64編碼過的字符序列，用點號分隔，一共由三部分組成，頭部header，消息體playload和簽名sign。

1.jwt的頭部Header是json格式：

1
2
3
4
5
{
  "typ":"JWT",
  "alg":"HS256",
  "exp":1491066992916
}

其中typ是type的簡寫，代表該類型是JWT類型，加密方式聲明是HS256，exp代表當前時間.

2.jwt的消息體Playload

1
2
3
4
{
  "userid":"123456",
  "iss":"companyName"
}

消息體的具體字段可根據(jù)業(yè)務需要自行定義和添加，只需在解密的時候注意拿字段的key值獲取value。

3.簽名sign的生成

最后是簽名，簽名的生成是把header和playload分別使用base64url編碼,接著用'.‘把兩個編碼后的字符串連接起來，再把這拼接起來的字符串配合密鑰進行HMAC SHA-256算法加密，最后再次base64編碼下，這就拿到了簽名sign. 最后把header和playload和sign用'.‘ 連接起來就生成了整個JWT。

三、校驗簡介

整個jwt的結(jié)構(gòu)是由header.playload.sign連接組成，只有sign是用密鑰加密的，而所有的信息都在header和playload中可以直接獲取，sign的作用只是校驗header和playload的信息是否被篡改過，所以jwt不能保護數(shù)據(jù)，但以上的特性可以很好的應用在權(quán)限認證上。

1.加密

比如要加密驗證的是userid字段，首先按前面的格式組裝json消息頭header和消息體playload，按header.playload組成字符串，再根據(jù)密鑰和HS256加密header.playload得到sign簽名，最后得到jwtToken為header.playload.sign，在http請求中的url帶上參數(shù)想后端服務請求認證。

2. 解密

后端服務校驗jwtToken是否有權(quán)訪問接口服務，進行解密認證，如校驗訪問者的userid，首先

用將字符串按.號切分三段字符串，分別得到header和playload和sign。然后將header.playload拼裝用密鑰和HAMC SHA-256算法進行加密然后得到新的字符串和sign進行比對，如果一樣就代表數(shù)據(jù)沒有被篡改，然后從頭部取出exp對存活期進行判斷，如果超過了存活期就返回空字符串，如果在存活期內(nèi)返回userid的值。

四、代碼示例

1.python代碼的加密解密

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
#!/usr/bin/env python
# coding: utf-8
 
from itsdangerous import BadTimeSignature, SignatureExpired
from itsdangerous import TimedJSONWebSignatureSerializer as Serializer
 
APP_SECRET_KEY="secret"
MAX_TOKEN_AGE=1800
token_generator = Serializer(APP_SECRET_KEY, expires_in=MAX_TOKEN_AGE)
 
def generate_auth_token(userid):
  access_token = token_generator.dumps({"userid":userid})
  return access_token
def verify_token(token):
  try:
    user_auth = token_generator.loads(token)
    print type(token_generator)
  except SignatureExpired as e:
    raise e
  except BadTimeSignature as e:
    raise e
  return user_auth

2. java代碼的加密解密

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
package api.test.util;
 
import java.io.UnsupportedEncodingException;
import java.security.InvalidKeyException;
import java.security.NoSuchAlgorithmException;
 
import javax.crypto.Mac;
import javax.crypto.SecretKey;
import javax.crypto.spec.SecretKeySpec;
 
import org.apache.commons.codec.binary.Base64;
import org.springframework.beans.factory.annotation.Value;
import org.springframework.stereotype.Component;
 
import lombok.extern.slf4j.Slf4j;
import net.sf.json.JSONObject;
 
/**
 * jwt加解密實現(xiàn)
 *
 * @author zhengsc
 */
@Slf4j
public class TokenUtil {
 
  private String ISSUER = "companyName"; // 機構(gòu)
 
  private String APP_SECRET_KEY = "secret"; // 密鑰
 
  private long MAX_TOKEN_AGE = 1800; // 存活期
 
  /**
   * 生成userId的accessToken
   *
   * @param userid
   * @return
   */
  public String generateAccessToken(String userid) {
    JSONObject claims = new JSONObject();
    claims.put("iss", ISSUER);
    claims.put("userid", userid);
    String accessToken = sign(claims, APP_SECRET_KEY);
    return accessToken;
  }
 
  /**
   * 解密程序返回userid
   *
   * @param token
   * @return
   */
  public String verifyToken(String token) {
    String userid = "";
    try {
      String[] splitStr = token.split("\\.");
      String headerAndClaimsStr = splitStr[0] + "." +splitStr[1];
      String veryStr = signHmac256(headerAndClaimsStr, APP_SECRET_KEY);
      // 校驗數(shù)據(jù)是否被篡改
      if (veryStr.equals(splitStr[2])) {
        String header = new String(Base64.decodeBase64(splitStr[0]),"UTF-8");
        JSONObject head = JSONObject.fromObject(header);
        long expire = head.getLong("exp") * 1000L;
        long currentTime = System.currentTimeMillis();
        if (currentTime <= expire){ // 驗證accessToken的有效期
          String claims = new String(Base64.decodeBase64(splitStr[1]),"UTF-8");
          JSONObject claim = JSONObject.fromObject(claims);
          userid = (String) claim.get("userid");
        }
      }
    } catch (UnsupportedEncodingException e) {
      log.error(e.getMessage(), e);
    }
 
    return userid;
  }
 
  /**
   * 組裝加密結(jié)果jwt返回
   *
   * @param claims
   * @param appSecretKey
   * @return
   */
  private String sign(JSONObject claims, String appSecretKey) {
    String headerAndClaimsStr = getHeaderAndClaimsStr(claims);
    String signed256 = signHmac256(headerAndClaimsStr, appSecretKey);
    return headerAndClaimsStr + "." + signed256;
  }
 
  /**
   * 拼接請求頭和聲明
   *
   * @param claims
   * @return
   */
  private String getHeaderAndClaimsStr(JSONObject claims) {
    JSONObject header = new JSONObject();
    header.put("alg", "HS256");
    header.put("typ", "JWT");
    header.put("exp", System.currentTimeMillis() + MAX_TOKEN_AGE * 1000L);
    String headerStr = header.toString();
    String claimsStr = claims.toString();
    String headerAndClaimsStr = Base64.encodeBase64URLSafeString(headerStr.getBytes()) + "."
        + Base64.encodeBase64URLSafeString(claimsStr.getBytes());
    return headerAndClaimsStr;
  }
 
  /**
   * 將headerAndClaimsStr用SHA1加密獲取sign
   *
   * @param headerAndClaimsStr
   * @param appSecretKey
   * @return
   */
  private String signHmac256(String headerAndClaimsStr, String appSecretKey) {
    SecretKey key = new SecretKeySpec(appSecretKey.getBytes(), "HmacSHA256");
    String result = null;
    try {
      Mac mac;
      mac = Mac.getInstance(key.getAlgorithm());
      mac.init(key);
      result = Base64.encodeBase64URLSafeString(mac.doFinal(headerAndClaimsStr.getBytes()));
    } catch (NoSuchAlgorithmException | InvalidKeyException e) {
      log.error(e.getMessage(), e);
    }
    return result;
  }
 
}

以上就是本文的全部內(nèi)容，希望本文的內(nèi)容對大家的學習或者工作能帶來一定的幫助，同時也希望多多支持腳本之家！


上一篇：徹底理解cookie，session，token

下一篇：JSON Web Tokens (JWT) 與 Sessions

無錫和控電子科技有限公司
聯(lián)系我們

二維碼

掃一掃 手機訪問

  Copyright@2023 無錫和控電子科技有限公司 版權(quán)所有   網(wǎng)站支持：PbootCMS
 
電話咨詢
在線咨詢
公司簡介

在線咨詢

點擊這里給我發(fā)消息 售前咨詢專員

點擊這里給我發(fā)消息 售后服務專員

在線咨詢

免費通話

24小時免費咨詢

請輸入您的聯(lián)系電話，座機請加區(qū)號

免費通話

微信掃一掃

微信聯(lián)系
返回頂部