JWT学习

柔光的暖阳◎ 2024-03-30 17:53 48阅读 0赞

### **2.4 JWT** ###

#### **2.4.1 普通令牌的问题** ####

客户端申请到令牌，接下来客户端携带令牌去访问资源，到资源服务器将会校验令牌的合法性。  
资源服务器如何校验令牌的合法性？  
我们以OAuth2的密码模式为例进行说明：  
![ad41a89c8716a9f9b8cd42a6a586dd36.png_averageHue_f5f5f5_crop_0_crop_0_crop_1_crop_1_id_sAx69_originHeight_562_originWidth_577_originalType_binary_ratio_1_rotation_0_showTitle_false_status_done_style_none_title][]  
从第4步开始说明：  
1、客户端携带令牌访问资源服务获取资源。  
2、资源服务远程请求认证服务校验令牌的合法性  
3、如果令牌合法资源服务向客户端返回资源。  
这里存在一个问题：  
就是校验令牌需要远程请求认证服务，客户端的每次访问都会远程校验，执行性能低。  
如果能够让资源服务自己校验令牌的合法性将省去远程请求认证服务的成本，提高了性能。如下图：  
![d115b361f6663432233fe1abb1443d7b.png_averageHue_f5f5f5_crop_0_crop_0_crop_1_crop_1_id_IoyS9_originHeight_620_originWidth_555_originalType_binary_ratio_1_rotation_0_showTitle_false_status_done_style_none_title][]  
如何解决上边的问题，实现资源服务自行校验令牌。  
令牌采用JWT格式即可解决上边的问题，用户认证通过后会得到一个JWT令牌，JWT令牌中已经包括了用户相关的信息，客户端只需要携带JWT访问资源服务，资源服务根据事先约定的算法自行完成令牌校验，无需每次都请求认证服务完成授权。

#### **2.4.2 什么是JWT** ####

什么是JWT？  
JSON Web Token（JWT）是一种使用JSON格式传递数据的网络令牌技术，它是一个开放的行业标准（RFC 7519），它定义了一种简洁的、自包含的协议格式，用于在通信双方传递json对象，传递的信息经过数字签名可以被验证和信任，它可以使用HMAC算法或使用RSA的公钥/私钥对来签名，防止内容篡改。官网：[https://jwt.io/][https_jwt.io]  
使用JWT可以实现无状态认证，什么是无状态认证？  
传统的基于session的方式是有状态认证，用户登录成功将用户的身份信息存储在服务端，这样加大了服务端的存储压力，并且这种方式不适合在分布式系统中应用。  
如下图，当用户访问应用服务，每个应用服务都会去服务器查看session信息，如果没有则认证用户没有登录，此时就会重新认证，而解决这个问题的方法是Session复制、Session黏贴。  
![ea8669da6546df6bd84aadd25abe7e1b.png_averageHue_fbcd41_crop_0_crop_0_crop_1_crop_1_id_j1B14_originHeight_625_originWidth_658_originalType_binary_ratio_1_rotation_0_showTitle_false_status_done_style_none_title][]  
如果是基于令牌技术在分布式系统中实现认证则服务端不用存储session，可以将用户身份信息存储在令牌中，用户认证通过后认证服务颁发令牌给用户，用户将令牌存储在客户端，去访问应用服务时携带令牌去访问，服务端从jwt解析出用户信息。这个过程就是无状态认证。  
![f62dfb40f6a95fd933e1d62b57f6eb87.png_averageHue_fbcd40_crop_0_crop_0_crop_1_crop_1_id_QAq77_originHeight_597_originWidth_591_originalType_binary_ratio_1_rotation_0_showTitle_false_status_done_style_none_title][]  
JWT令牌的优点：  
1、jwt基于json，非常方便解析。  
2、可以在令牌中自定义丰富的内容，易扩展。  
3、通过非对称加密算法及数字签名技术，JWT防止篡改，安全性高。  
4、资源服务使用JWT可不依赖认证服务即可完成授权。  
缺点：  
１、JWT令牌较长，占存储空间比较大。  
下边是一个JWT令牌的示例：

<table> 
 <thead> 
  <tr> 
   <th>Plain TexteyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJhdWQiOlsicmVzMSJdLCJ1c2VyX25hbWUiOiJ6aGFuZ3NhbiIsInNjb3BlIjpbImFsbCJdLCJleHAiOjE2NjQyNTQ2NzIsImF1dGhvcml0aWVzIjpbInAxIl0sImp0aSI6Ijg4OTEyYjJkLTVkMDUtNGMxNC1iYmMzLWZkZTk5NzdmZWJjNiIsImNsaWVudF9pZCI6ImMxIn0.wkDBL7roLrvdBG2oGnXeoXq-zZRgE9IVV2nxd-ez_oA</th> 
  </tr> 
 </thead> 
</table>

JWT令牌由三部分组成，每部分中间使用点（.）分隔，比如：xxxxx.yyyyy.zzzzz  
Header  
头部包括令牌的类型（即JWT）及使用的哈希算法（如HMAC SHA256或RSA）  
一个例子如下：  
下边是Header部分的内容

| JSON \{  
“alg”: “HS256”,  
“typ”: “JWT”

将上边的内容使用Base64Url编码，得到一个字符串就是JWT令牌的第一部分。  
Payload  
第二部分是负载，内容也是一个json对象，它是存放有效信息的地方，它可以存放jwt提供的现成字段，比如：iss（签发者）,exp（过期时间戳）, sub（面向的用户）等，也可自定义字段。  
此部分不建议存放敏感信息，因为此部分可以解码还原原始内容。  
最后将第二部分负载使用Base64Url编码，得到一个字符串就是JWT令牌的第二部分。  
一个例子：

| JSON \{  
“sub”: “1234567890”,  
“name”: “456”,  
“admin”: true

Signature  
第三部分是签名，此部分用于防止jwt内容被篡改。  
这个部分使用base64url将前两部分进行编码，编码后使用点（.）连接组成字符串，最后使用header中声明签名算法进行签名。  
一个例子：

| JSON HMACSHA256(  
base64UrlEncode(header) + “.” +  
base64UrlEncode(payload),  
secret) |  
| — |

base64UrlEncode(header)：jwt令牌的第一部分。  
base64UrlEncode(payload)：jwt令牌的第二部分。  
secret：签名所使用的密钥。  
为什么JWT可以防止篡改？  
第三部分使用签名算法对第一部分和第二部分的内容进行签名，常用的签名算法是 HS256，常见的还有md5,sha 等，签名算法需要使用密钥进行签名，密钥不对外公开，并且签名是不可逆的，如果第三方更改了内容那么服务器验证签名就会失败，要想保证验证签名正确必须保证内容、密钥与签名前一致。  
![36cd04e36009f8a6cb9083435f38fcce.png_averageHue_f7f7f7_crop_0_crop_0_crop_1_crop_1_id_fgjSA_originHeight_536_originWidth_670_originalType_binary_ratio_1_rotation_0_showTitle_false_status_done_style_none_title][]  
从上图可以看出认证服务和资源服务使用相同的密钥，这叫对称加密，对称加密效率高，如果一旦密钥泄露可以伪造jwt令牌。  
JWT还可以使用非对称加密，认证服务自己保留私钥，将公钥下发给受信任的客户端、资源服务，公钥和私钥是配对的，成对的公钥和私钥才可以正常加密和解密，非对称加密效率低但相比对称加密非对称加密更安全一些。

#### **2.4.3 测试生成JWT令牌** ####

在认证服务中配置jwt令牌服务，即可实现生成jwt格式的令牌,

| Javapackage com.xuecheng.auth.config;

import org.springframework.beans.factory.annotation.Autowired;  
import org.springframework.context.annotation.Bean;  
import org.springframework.context.annotation.Configuration;  
import org.springframework.security.oauth2.provider.token.AuthorizationServerTokenServices;  
import org.springframework.security.oauth2.provider.token.DefaultTokenServices;  
import org.springframework.security.oauth2.provider.token.TokenEnhancerChain;  
import org.springframework.security.oauth2.provider.token.TokenStore;  
import org.springframework.security.oauth2.provider.token.store.InMemoryTokenStore;  
import org.springframework.security.oauth2.provider.token.store.JwtAccessTokenConverter;  
import org.springframework.security.oauth2.provider.token.store.JwtTokenStore;

import java.util.Arrays;

/\*\*

*  @author Administrator
 *  @version 1.0  
    \*\*/  
    @Configuration  
    public class TokenConfig \{
    
    private String SIGNING\_KEY = “mq123”;
    
    @Autowired  
    TokenStore tokenStore;

// @Bean  
// public TokenStore tokenStore() \{  
// //使用内存存储令牌（普通令牌）  
// return new InMemoryTokenStore();  
// \}

@Autowired
    private JwtAccessTokenConverter accessTokenConverter;
    
    @Bean
    public TokenStore tokenStore() {
        return new JwtTokenStore(accessTokenConverter());
    }
    
    @Bean
    public JwtAccessTokenConverter accessTokenConverter() {
        JwtAccessTokenConverter converter = new JwtAccessTokenConverter();
        converter.setSigningKey(SIGNING_KEY);
        return converter;
    }
    
    //令牌管理服务
    @Bean(name="authorizationServerTokenServicesCustom")
    public AuthorizationServerTokenServices tokenService() {
        DefaultTokenServices service=new DefaultTokenServices();
        service.setSupportRefreshToken(true);//支持刷新令牌
        service.setTokenStore(tokenStore);//令牌存储策略
    
        TokenEnhancerChain tokenEnhancerChain = new TokenEnhancerChain();
        tokenEnhancerChain.setTokenEnhancers(Arrays._asList_(accessTokenConverter));
        service.setTokenEnhancer(tokenEnhancerChain);
    
        service.setAccessTokenValiditySeconds(7200); // 令牌默认有效期2小时
        service.setRefreshTokenValiditySeconds(259200); // 刷新令牌默认有效期3天
        return service;
    }

重启认证服务。  
使用httpclient通过密码模式申请令牌

| Java\#\#\# 密码模式

<table> 
 <thead> 
  <tr> 
   <th>POST { {auth_host}}/oauth/token?client_id=XcWebApp&amp;client_secret=XcWebApp&amp;grant_type=password&amp;username=zhangsan&amp;password=123</th> 
  </tr> 
 </thead> 
</table>

生成jwt的示例如下：

| JSON\{  
“access\_token”: “eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJhdWQiOlsicmVzMSJdLCJ1c2VyX25hbWUiOiJ6aGFuZ3NhbiIsInNjb3BlIjpbImFsbCJdLCJleHAiOjE2NjQzMzE2OTUsImF1dGhvcml0aWVzIjpbInAxIl0sImp0aSI6ImU5ZDNkMGZkLTI0Y2ItNDRjOC04YzEwLTI1NmIzNGY4ZGZjYyIsImNsaWVudF9pZCI6ImMxIn0.-9SKI-qUqKhKcs8Gb80Rascx-JxqsNZxxXoPo82d8SM”,  
“token\_type”: “bearer”,  
“refresh\_token”: “eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJhdWQiOlsicmVzMSJdLCJ1c2VyX25hbWUiOiJ6aGFuZ3NhbiIsInNjb3BlIjpbImFsbCJdLCJhdGkiOiJlOWQzZDBmZC0yNGNiLTQ0YzgtOGMxMC0yNTZiMzRmOGRmY2MiLCJleHAiOjE2NjQ1ODM2OTUsImF1dGhvcml0aWVzIjpbInAxIl0sImp0aSI6ImRjNTRjNTRkLTA0YTMtNDIzNS04MmY3LTFkOWZkMmFjM2VmNSIsImNsaWVudF9pZCI6ImMxIn0.Wsw1Jc-Kd\_GFqEugzdfoSsMY6inC8OQsraA21WjWtT8”,  
“expires\_in”: 7199,  
“scope”: “all”,  
“jti”: “e9d3d0fd-24cb-44c8-8c10-256b34f8dfcc”

1、access\_token，生成的jwt令牌，用于访问资源使用。  
2、token\_type，bearer是在RFC6750中定义的一种token类型，在携带jwt访问资源时需要在head中加入bearer jwt令牌内容  
3、refresh\_token，当jwt令牌快过期时使用刷新令牌可以再次生成jwt令牌。  
4、expires\_in：过期时间（秒）  
5、scope，令牌的权限范围，服务端可以根据令牌的权限范围去对令牌授权。  
6、jti：令牌的唯一标识。  
我们可以通过check\_token接口校验jwt令牌

| Plain Text\#\#\#校验jwt令牌

<table> 
 <thead> 
  <tr> 
   <th>POST { {auth_host}}/oauth/check_token?token=eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJhdWQiOlsicmVzMSJdLCJ1c2VyX25hbWUiOiJzdHUxIiwic2NvcGUiOlsiYWxsIl0sImV4cCI6MTY2NDM3MTc4MCwiYXV0aG9yaXRpZXMiOlsicDEiXSwianRpIjoiZjBhM2NkZWItMzk5ZC00OGYwLTg4MDQtZWNhNjM4YWQ4ODU3IiwiY2xpZW50X2lkIjoiYzEifQ.qy46CSCJsH3eXWTHgdcntZhzcSzfRQlBU0dxAjZcsUw</th> 
  </tr> 
 </thead> 
</table>

响应示例如下：

| JSON\{  
“aud”: \[  
“res1”  
\],  
“user\_name”: “zhangsan”,  
“scope”: \[  
“all”  
\],  
“active”: true,  
“exp”: 1664371780,  
“authorities”: \[  
“p1”  
\],  
“jti”: “f0a3cdeb-399d-48f0-8804-eca638ad8857”,  
“client\_id”: “c1”

#### **2.4.4 测试资源服务校验令牌** ####

拿到了jwt令牌下一步就要携带令牌去访问资源服务中的资源，本项目各个微服务就是资源服务，比如：内容管理服务，客户端申请到jwt令牌，携带jwt去内容管理服务查询课程信息，此时内容管理服务要对jwt进行校验，只有jwt合法才可以继续访问。如下图：  
![13f37c646fb0653b017dae43aff39e37.png_averageHue_f8f8f8_crop_0_crop_0_crop_1_crop_1_id_eVZym_originHeight_598_originWidth_1002_originalType_binary_ratio_1_rotation_0_showTitle_false_status_done_style_none_title][]  
1、在内容管理服务的content-api工程中添加依赖

| XML  
  
org.springframework.cloud  
spring-cloud-starter-security  
  
  
org.springframework.cloud  
spring-cloud-starter-oauth2

2、在内容管理服务的content-api工程中添加TokenConfig

| Javapackage com.xuecheng.content.config;

import org.springframework.context.annotation.Bean;  
import org.springframework.context.annotation.Configuration;  
import org.springframework.security.oauth2.provider.token.TokenStore;  
import org.springframework.security.oauth2.provider.token.store.JwtAccessTokenConverter;  
import org.springframework.security.oauth2.provider.token.store.JwtTokenStore;

/\*\*

*  @author Administrator
 *  @version 1.0  
    \*\*/  
    @Configuration  
    public class TokenConfig \{
    
    //jwt签名密钥,与认证服务保持一致  
    private String SIGNING\_KEY = “mq123”;
    
    @Bean  
    public TokenStore tokenStore() \{  
    //JWT令牌存储方案  
    return new JwtTokenStore(accessTokenConverter());  
    \}
    
    @Bean  
    public JwtAccessTokenConverter accessTokenConverter() \{  
    JwtAccessTokenConverter converter = new JwtAccessTokenConverter();  
    converter.setSigningKey(SIGNING\_KEY);  
    return converter;  
    \}
    
    /\* @Bean  
    public TokenStore tokenStore() \{  
    //使用内存存储令牌（普通令牌）  
    return new InMemoryTokenStore();  
    \}\*/  
    \} |  
    | — |

3、添加资源服务配置

| Javapackage com.xuecheng.content.config;

import org.springframework.beans.factory.annotation.Autowired;  
import org.springframework.context.annotation.Configuration;  
import org.springframework.security.config.annotation.method.configuration.EnableGlobalMethodSecurity;  
import org.springframework.security.config.annotation.web.builders.HttpSecurity;  
import org.springframework.security.config.http.SessionCreationPolicy;  
import org.springframework.security.oauth2.config.annotation.web.configuration.EnableResourceServer;  
import org.springframework.security.oauth2.config.annotation.web.configuration.ResourceServerConfigurerAdapter;  
import org.springframework.security.oauth2.config.annotation.web.configurers.ResourceServerSecurityConfigurer;  
import org.springframework.security.oauth2.provider.token.TokenStore;

/\*\*

*  @author Administrator
 *  @version 1.0  
    \*\*/  
    @Configuration  
    @EnableResourceServer  
    @EnableGlobalMethodSecurity(securedEnabled = true,prePostEnabled = true)  
    public class ResouceServerConfig extends ResourceServerConfigurerAdapter \{
    
    //资源服务标识  
    public static final String \_RESOURCE\_ID \_= “res1”;
    
    @Autowired  
    TokenStore tokenStore;
    
    @Override  
    public void configure(ResourceServerSecurityConfigurer resources) \{  
    resources.resourceId(*RESOURCE\_ID*)//资源 id  
    .tokenStore(tokenStore)  
    .stateless(true);  
    \}
    
    @Override  
    public void configure(HttpSecurity http) throws Exception \{  
    http.csrf().disable()  
    .authorizeRequests()  
    .antMatchers(“/r/**“,”/course/**”).authenticated()//所有/r/\*\*的请求必须认证通过  
    .anyRequest().permitAll()  
    ;  
    \}

根据配置可知/course/\*\*开头的接口需要认证通过。  
重启内容管理服务  
使用httpclient测试：  
1、访问根据课程id查询课程接口

<table> 
 <thead> 
  <tr> 
   <th>Plain TextGET http://localhost:63040/content/course/2</th> 
  </tr> 
 </thead> 
</table>

| JSON\{  
“error”: “unauthorized”,  
“error\_description”: “Full authentication is required to access this resource”

从返回信息可知当前没有认证。  
下边携带JWT令牌访问接口：  
1、申请jwt令牌  
采用密码模式申请令牌。  
2、携带jwt令牌访问资源服务地址

| Plain Text\#\#\# 携带token访问资源服务  
GET http://localhost:63040/content/course/2

<table> 
 <thead> 
  <tr> 
   <th>A_uthorization:_ Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJhdWQiOlsicmVzMSJdLCJ1c2VyX25hbWUiOiJ6aGFuZ3NhbiIsInNjb3BlIjpbImFsbCJdLCJleHAiOjE2NjQzMzM0OTgsImF1dGhvcml0aWVzIjpbInAxIl0sImp0aSI6IjhhM2M2OTk1LWU1ZGEtNDQ1Yy05ZDAyLTEwNDFlYzk3NTkwOSIsImNsaWVudF9pZCI6ImMxIn0.73eNDxTX5ifttGCjwc7xrd-Sbp_mCfcIerI3lGetZto</th> 
  </tr> 
 </thead> 
</table>

如果携带jwt令牌且jwt正确则正常访问资源服务的内容。  
如果不正确则报令牌无效的错误：

| JSON\{  
“error”: “invalid\_token”,  
“error\_description”: “Cannot convert access token to JSON”

#### **2.4.5 测试获取用户身份** ####

jwt令牌中记录了用户身份信息，当客户端携带jwt访问资源服务，资源服务验签通过后将前两部分的内容还原即可取出用户的身份信息，并将用户身份信息放在了SecurityContextHolder上下文，SecurityContext与当前线程进行绑定，方便获取用户身份。  
还以查询课程接口为例，进入查询课程接口的代码中，添加获取用户身份的代码

| Java@ApiOperation(“根据课程id查询课程基础信息”)  
@GetMapping(“/course/\{courseId\}”)  
public CourseBaseInfoDto getCourseBaseById(@PathVariable(“courseId”) Long courseId)\{  
//取出当前用户身份  
Object principal = SecurityContextHolder.*getContext*().getAuthentication().getPrincipal();  
System.*out*.println(principal);

return courseBaseInfoService.getCourseBaseInfo(courseId);

测试时需要注意：  
1、首先在资源服务配置中指定安全拦截机制 /course/开头的请求需要认证，即请求/course/\{courseId\}接口需要携带jwt令牌且签证通过。  
2、认证服务生成jwt令牌将用户身份信息写入令牌，认证服务哪里获取用户身份。  
目前还是将用户信息硬编码并暂放在内存中，如下：

| Java@Bean  
public UserDetailsService userDetailsService() \{  
//这里配置用户信息,这里暂时使用这种方式将用户存储在内存中  
InMemoryUserDetailsManager manager = new InMemoryUserDetailsManager();  
manager.createUser(User.*withUsername*(“zhangsan”).password(“123”).authorities(“p1”).build());  
manager.createUser(User.*withUsername*(“lisi”).password(“456”).authorities(“p2”).build());  
return manager;

3、我们在使用密码模式生成jwt令牌时用的是zhangsan的信息，所以jwt令牌中存储了zhangsan的信息，那么在资源服务中应该取出zhangsan的信息才对。  
清楚了以上内容，下边重启内容管理服务，跟踪取到的用户身份是否正确。

[ad41a89c8716a9f9b8cd42a6a586dd36.png_averageHue_f5f5f5_crop_0_crop_0_crop_1_crop_1_id_sAx69_originHeight_562_originWidth_577_originalType_binary_ratio_1_rotation_0_showTitle_false_status_done_style_none_title]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/30/772de4e189be4162ab21b22f1aab0404.png
[d115b361f6663432233fe1abb1443d7b.png_averageHue_f5f5f5_crop_0_crop_0_crop_1_crop_1_id_IoyS9_originHeight_620_originWidth_555_originalType_binary_ratio_1_rotation_0_showTitle_false_status_done_style_none_title]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/30/72005f89cfde47bab6a9fc71e7ceedc2.png
[https_jwt.io]: https://jwt.io/
[ea8669da6546df6bd84aadd25abe7e1b.png_averageHue_fbcd41_crop_0_crop_0_crop_1_crop_1_id_j1B14_originHeight_625_originWidth_658_originalType_binary_ratio_1_rotation_0_showTitle_false_status_done_style_none_title]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/30/360d8028d38d49c889274c60fd2be111.png
[f62dfb40f6a95fd933e1d62b57f6eb87.png_averageHue_fbcd40_crop_0_crop_0_crop_1_crop_1_id_QAq77_originHeight_597_originWidth_591_originalType_binary_ratio_1_rotation_0_showTitle_false_status_done_style_none_title]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/30/55fd5f866d1b447e9bfb31634e856b0a.png
[36cd04e36009f8a6cb9083435f38fcce.png_averageHue_f7f7f7_crop_0_crop_0_crop_1_crop_1_id_fgjSA_originHeight_536_originWidth_670_originalType_binary_ratio_1_rotation_0_showTitle_false_status_done_style_none_title]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/30/ab3b3650893f4c07ab2fc16288e5ea71.png
[13f37c646fb0653b017dae43aff39e37.png_averageHue_f8f8f8_crop_0_crop_0_crop_1_crop_1_id_eVZym_originHeight_598_originWidth_1002_originalType_binary_ratio_1_rotation_0_showTitle_false_status_done_style_none_title]: https://image.dandelioncloud.cn/pgy_files/images/2024/03/30/33c3cf1e74d64129807f7134a2efba28.png