【SpringSecurity】九、Base64与JWT

文章目录

• 1、base64编码
• 2、Base64Url
• 3、JWT的产生背景
• 4、JWT介绍
• 5、JWT组成
• • [5.1 Header](#5.1 Header)
  • [5.2 Payload](#5.2 Payload)
  • [5.3 Signature](#5.3 Signature)
• 6、JWT的使用方式
• 7、JWT的几个特点

1、base64编码

base64是一种编码方式，不是加密方式。

所谓Base64，就是说选出64个字符：小写字母a-z、大写字母A-Z、数字0-9、符号"+"、"/"（再加上作为垫字的"="，实际上是使用65个字符），作为一个基本字符集。然后，其他文件（视频、文本、字符串...）里的所有符号都转换成这个字符集中的字符。

所谓的垫字的=号，即base64三个字节一分，最后不够分的时候拿等号占位一下，也就是说等号只能出现在末尾，且最多两个。（缺三字节那就是前面刚好够分，所以最多可能有两个==）

在Linux下，编码为：

echo -n 'Hello World' | base64
SGVsbG8gV29ybGQ=

解码为：

echo -n 'SGVsbG8gV29ybGQ=' | base64 -d
Hello World

其中：

echo 命令带换行
echo -n 即不换行输出

	echo -n '{"alg":"HS256","typ":"JWT"}' | base64

以上是通过管道将echo的结果传给后面的指令，当然可以直接base64，配合Ctrl+D结束输入。

也可以对文件进行base64编码和解码：

#base64编码
# base64 待编码的文件名 > 编码后的文件名
base64  1.mp3 > mymp3  #打开就是一堆64个字符组成的文件

#base64 解码
#base64 -d 待解码的文件名 >解码后的文件名
base64 -d mymp3>88.mp3

2、Base64Url

Base64Url是一种在Base64的基础上编码形成新的编码方式，为了编码能在网络中安全顺畅传输，需要对Base64进行的编码，特别是互联网中。

Base64Url编码的步骤是：

• 明文使用BASE64进行编码
• 在Base64编码的基础上进行以下的处理

 1)去除尾部的"="
 2)把"+"替换成"-"
 3)斜线"/"替换成下划线"_"

3、JWT的产生背景

互联网服务离不开用户认证，基于session的流程是：

• 用户向服务器发送用户名和密码
• 服务器验证通过后，在当前对话（session）里面保存相关数据，比如用户角色、登录时间等等
• 服务器并向用户返回一个session_id，写入用户的cookie
• 用户随后的每一次请求，都会通过 Cookie，将 session_id 传回服务器
• 服务器收到 session_id，找到服务端前期保存的数据，由此得知用户的身份

这种模式的问题在于，扩展性（scaling）不好。单机当然没有问题，如果是服务器集群，或者是跨域的服务导向架构，就要求 session 数据共享，每台服务器都能够读取 session。

举例来说，A 网站和 B 网站是同一家公司的关联服务。现在要求，用户只要在其中一个网站登录，再访问另一个网站就会自动登录（单点登录），请问怎么实现？

解决方案一：服务端做session数据持久化

即服务端将写入数据库或别的持久层。各种服务收到请求后，都向这个持久层请求数据。这种方案的优点是架构清晰，缺点是工程量比较大。另外，持久层万一挂了，就会单点失败。

解决方案二：服务端不再保存 session 数据了，所有数据都保存在客户端

如JWT，服务器不存数据，客户端存，服务器解析就行了，解析出来JWT合法，则允许访问系统。

以上是JWT实现登录的原理图，即客户端认证通过后，被下发一个令牌，客户端发起请求时携带这个令牌，服务端可以通过算法和密钥进行令牌合法性校验，不再依赖数据库，Memcached的等存储系统，因此可以做到跨服务器验证，只要密钥和算法相同，不同服务器程序生成的Token可以互相验证通过。这就是JWT和session的区别，用JWT时，服务端啥也不用存，就做个校验。

直白讲就是服务端用解析 token 的计算时间换取 session 的存储空间，从而减轻服务器的压力，减少频繁的查询数据库。

4、JWT介绍

JSON Web Token（JWT）是一个开放标准（RFC 7519），它定义了一种紧凑且独立的方式，用于在各方之间作为JSON对象安全地传输信息。 此信息可以通过数字签名进行验证和信任。JWT可以使用密钥（使用HMAC算法）或使用RSA或ECDSA的公钥/私钥对进行签名。

相关文档：

• 官方网址：https://jwt.io/
• 调试页面：https://jwt.io/
• 学习文档：https://jwt.io/introduction/

JWT的主要用途有：

• 授权：一次登录后，后续请求携带token，校验合法的token，则允许访问系统的资源。JWT广泛应用于单点登录SSO（Single Sign On）上，因为其开销很小且可以在不同领域轻松使用
• 信息交换：JSON Web Token是一种在各方面之间安全信息传输的好的方式 因为JWT可以签名 - 例如，使用公钥/私钥对 - 您可以确定发件人是他们所说的人。 此外，由于使用标头和有效负载计算签名，您还可以验证内容是否未被篡改。

5、JWT组成

一个JWT由三部分组成，各部分以点分隔：xxxxx.yyyyy.zzzzz格式

Header(头部）-----base64Url编码的Json字符串

Payload(载荷）---base64url编码的Json字符串

Signature(签名)---使用指定算法，通过Header和Playload加盐计算的字符串

举例：

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9
.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ
.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

5.1 Header

头部由两部分组成：

• 1）token的类型，目前只能是JWT
• 2）签名算法，比如HMAC 、 SHA256 、 RSA

示例：

{
  "alg":"HS256",
  "typ":"JWT"
}

编码：

echo -n '{"alg":"HS256","typ":"JWT"}' | base64

得到的就是JWT的第一部分。

5.2 Payload

payload就像车厢，里面拉了很多东西，比如用户名。 payload（有效负载），其中包含claims（声明）。Claims是关于一个实体（通常是用户）和其他数据类型的声明。Claims又有三种类型：

• registered
• public
• private

1） Registered（已注册的声明）：这些是一组预定义声明，不是强制性的，但建议使用，以提供一组有用的，可互操作的声明。 其中一些是：iss（发行人），exp（到期时间），sub（主题），aud（观众）and others。（请注意，声明名称只有三个字符，因为JWT意味着紧凑。）

2） Public(公开声明)：这些可以由使用JWT的人随意定义。 但为避免冲突，应在IANA JSON Web Token Registry中定义它们，或者将其定义为包含防冲突命名空间的URI。

3） private (私人声明)：这些声明是为了在同意使用它们的各方之间共享信息而创建的，并且既不是注册声明也不是公开声明。

示例：

{
  "sub": "1234567890",
  "name": "John Doe",
  "admin": true
}

5.3 Signature

Signature是用来保证数据安全的，是对前两部分head、payload的签名，防止数据篡改。首先，需要指定一个密钥（secret）。这个密钥只有服务器才知道，不能泄露给用户。然后，使用 Header 里面指定的签名算法（默认是 HMAC SHA256），按照下面的公式产生签名：

HMACSHA256(
  base64UrlEncode(header) + "." +
  base64UrlEncode(payload),
  secret)

算出Signature值后，再把 Header、Payload、Signature 三个部分拼成一个字符串，每个部分之间用"点"（.）分隔，就可以返回给用户。这就是一个JWT值。

6、JWT的使用方式

客户端收到服务器返回的 JWT，可以储存在 Cookie 里面，也可以储存在 localStorage（本地存储）。此后，客户端每次与服务器通信，都要带上这个 JWT。你可以把它放在 Cookie 里面自动发送，但是这样不能跨域，所以更好的做法是放在 HTTP 请求的头信息Authorization字段里面。即：

Authorization: Bearer jwt

另一种做法是，跨域的时候，JWT 就放在 POST 请求的数据体里面。

当放本地存储localStorage的时候，每次请求，需要前端同事从localStorage里取出来，放到请求头里，再请求后端的controller，controller中httpServletRequest.getHeader()从请求头里获取出来，然后校验合法性，合法则允许访问。

7、JWT的几个特点

• JWT 默认是不加密，但也是可以加密的。生成原始 Token 以后，可以用密钥再加密一次。
• JWT 不加密的情况下，不能将秘密数据写入 JWT。
• JWT 不仅可以用于认证，也可以用于交换信息。有效使用 JWT，可以降低服务器端查询数据库的次数。

JWT 的最大缺点是，由于服务器不保存 session 状态，因此无法在使用过程中废止某个 token，或者更改 token 的权限。也就是说，一旦 JWT 签发了，在到期之前就会始终有效，除非服务器部署额外的逻辑（JWT的登出问题）。（后面再说redis）就是因为服务端无状态了，所以正常情况下， 修改了密码后就会跳转到登录页面重新登录，修改成功后清空浏览器保存的token了，重新认证，拿新的token（服务端无状态，改不了令牌）。JWT 本身包含了认证信息，一旦泄露，任何人都可以获得该令牌的所有权限。为了减少盗用，JWT 的有效期应该设置得比较短。对于一些比较重要的权限，使用时应该再次对用户进行认证。为了减少盗用，JWT 不应该使用 HTTP 80 协议明码传输，要使用 HTTPS 443 协议传输。