nodejs實(shí)現(xiàn)jwt的示例代碼
jwt是json web token的簡稱,本文介紹它的原理,最后后端用nodejs自己實(shí)現(xiàn)如何為客戶端生成令牌token和校驗(yàn)token
1.為什么需要會話管理
我們用nodejs為前端或者其他服務(wù)提供resful接口時(shí),http協(xié)議他是一個(gè)無狀態(tài)的協(xié)議,有時(shí)候我們需要根據(jù)這個(gè)請求的上下獲取具體的用戶是否有權(quán)限,針對用戶的上下文進(jìn)行操作。所以出現(xiàn)了cookies session還有jwt這幾種技術(shù)的出現(xiàn), 都是對HTTP協(xié)議的一個(gè)補(bǔ)充。使得我們可以用HTTP協(xié)議+狀態(tài)管理構(gòu)建一個(gè)的面向用戶的WEB應(yīng)用。
2.session和cookies
session和cookies是有聯(lián)系的,session就是服務(wù)端在客戶端cookies種下的session_id, 服務(wù)端保存session_id所對應(yīng)的當(dāng)前用戶所有的狀態(tài)信息。每次客戶端請求服務(wù)端都帶上cookies中的session_id, 服務(wù)端判斷是否有具體的用戶信息,如果沒有就去調(diào)整登錄。
- cookies安全性不好,攻擊者可以通過獲取本地cookies進(jìn)行欺騙或者利用cookies進(jìn)行CSRF攻擊。
- cookies在多個(gè)域名下,會存在跨域問題
- session的信息是保存在服務(wù)端上面的,當(dāng)我們node.js在stke部署多臺機(jī)器的時(shí)候,需要解決共享session,所以引出來session持久化問題,所以session不支持分布式架構(gòu),無法支持橫向擴(kuò)展,只能通過數(shù)據(jù)庫來保存會話數(shù)據(jù)實(shí)現(xiàn)共享。如果持久層失敗會出現(xiàn)認(rèn)證失敗。
3.jwt的定義
jwt是json web token的全稱,他解決了session以上的問題,優(yōu)點(diǎn)是服務(wù)器不保存任何會話數(shù)據(jù),即服務(wù)器變?yōu)闊o狀態(tài),使其更容易擴(kuò)展,什么情況下使用jwt比較合適,我覺得就是授權(quán)這個(gè)場景,因?yàn)閖wt使用起來輕便,開銷小,后端無狀態(tài),所以使用比較廣泛。
4.jwt的原理
JWT 的原理是,服務(wù)器認(rèn)證以后,生成一個(gè) JSON 對象,發(fā)回給用戶,就像下面這樣。
{ "姓名": "張三", "角色": "管理員", "到期時(shí)間": "2018年7月1日0點(diǎn)0分" }
以后,用戶與服務(wù)端通信的時(shí)候,都要發(fā)回這個(gè) JSON 對象。服務(wù)器完全只靠這個(gè)對象認(rèn)定用戶身份。為了防止用戶篡改數(shù)據(jù),服務(wù)器在生成這個(gè)對象的時(shí)候,會加上簽名。
5.jwt的認(rèn)證流程
流程說明:
- 瀏覽器發(fā)起請求登陸,攜帶用戶名和密碼;
- 服務(wù)端根據(jù)用戶名和明碼到數(shù)據(jù)庫驗(yàn)證身份,根據(jù)算法,將用戶標(biāo)識符打包生成 token,
- 服務(wù)器返回JWT信息給瀏覽器,JWT不應(yīng)該包含敏感信息,這是很重要的一點(diǎn)
- 瀏覽器發(fā)起請求獲取用戶資料,把剛剛拿到的 token一起發(fā)送給服務(wù)器,一般放在header里面,字段為authorization
- 服務(wù)器發(fā)現(xiàn)數(shù)據(jù)中有 token,decode token的信息,然后再次簽名,驗(yàn)明正身;
- 服務(wù)器返回該用戶的用戶資料;
- 服務(wù)器可以在payload設(shè)置過期時(shí)間, 如果過期了,可以讓客戶端重新發(fā)起驗(yàn)證。
6.jwt的數(shù)據(jù)結(jié)構(gòu)
jwt包含了使用.風(fēng)格的三個(gè)部分
Header頭部
{ "alg": "HS256", "typ": "JWT"} // algorithm => HMAC SHA256 // type => JWT
這是固定的寫法,alg表面要用的是HS256算法
Payload 負(fù)載、載荷,JWT 規(guī)定了7個(gè)官方字段
iss (issuer):簽發(fā)人
exp (expiration time):過期時(shí)間
sub (subject):主題
aud (audience):受眾
nbf (Not Before):生效時(shí)間
iat (Issued At):簽發(fā)時(shí)間
jti (JWT ID):編號
除了這七個(gè),可以自定義,比如過期時(shí)間
Signature 簽名
對前兩部分header和payload進(jìn)行簽名,防止數(shù)據(jù)篡改
HMACSHA256( base64UrlEncode(header) + "." + base64UrlEncode(payload), secret)
secret是一段字符串,后端保存,需要注意的是JWT 作為一個(gè)令牌(token),有些場合可能會放到 URL(比如 api.example.com/?token=xxx)。Base64 有三個(gè)字符+、/和=,在 URL 里面有特殊含義,所以要被替換掉:=被省略、+替換成-,/替換成_ 。這就是 Base64URL 算法。
7.jwt使用方式
HTTP 請求的頭信息Authorization字段里面, Bearer也是規(guī)定好的
Authorization: Bearer <token>
通過url傳輸(不推薦)
http://www.xxx.com/pwa?token=xxxxx
如果是post請求也可以放在請求體中
8.在koa項(xiàng)目中使用
可以使用現(xiàn)成庫,jwt-simple 或者 jsonwebtoken
let Koa = require('koa'); let Router = require('koa-router'); let bodyparser = require('koa-bodyparser'); let jwt = require('jwt-simple'); let router = new Router() let app = new Koa(); app.use(bodyparser()); // 可以自己自定義 let secret; // 驗(yàn)證是否登陸 router.post('/login',async(ctx)=>{? ? ? let {username,password} = ctx.request.body; ? ? if(username === 'admin' && password === 'admin'){ ? ? ? ?// 通常會查數(shù)據(jù)庫,這里簡單的演示 ? ? ? ?let token = ?jwt.encode(username, secret); ? ? ? ?ctx.body = { ? ? ? ? ? ? code:200, ? ? ? ? ? ? username, ? ? ? ? ? ? token, ? ? ? ?} ? ? } }); // 驗(yàn)證是否有權(quán)限 router.get('/validate',async(ctx)=>{? ? ? let Authorization = ctx.get('authorization') ? ? let [,token] = Authorization.split(' '); ? ? if(token){ ? ? ? ? try{ ? ? ? ? ? ? let r = jwt.decode(token,secret); ? ? ? ? ? ? ctx.body = { ? ? ? ? ? ? ? ? code:200, ? ? ? ? ? ? ? ? username:r, ? ? ? ? ? ? ? ? token ? ? ? ? ? ? } ? ? ? ? }catch(e){ ? ? ? ? ? ? ctx.body = { ? ? ? ? ? ? ? ? code:401, ? ? ? ? ? ? ? ? data:'沒有登陸' ? ? ? ? ? ? } ? ? ? ? } ? ? }else{ ? ? ? ? ctx.body = { ? ? ? ? ? ? code:401, ? ? ? ? ? ? data:'沒有登陸' ? ? ? ? } ? ? } }); app.use(router.routes()); app.listen(4000);
- 實(shí)現(xiàn)兩個(gè)接口 一個(gè)是/login 驗(yàn)證是否登錄,一個(gè)是 validate,驗(yàn)證是否有權(quán)限
- 請求login接口的時(shí)候,客戶端帶username和password, 后端一般會查數(shù)據(jù)庫,驗(yàn)證是否存在當(dāng)前用戶,如果存在則為username進(jìn)行簽名,千萬不要給password這些敏感信息也帶進(jìn)來簽名
- 客戶端接收后端給的token令牌,再請求其他接口,比如這個(gè)例子的/validate的時(shí)候,ajax請求的時(shí)候,可以在header指定authorization字段,后端拿到token進(jìn)行decode,然后將header和payload進(jìn)行再一次的簽名,如果前后的簽名一致,說明沒有被篡改過,則權(quán)限驗(yàn)證通過。因?yàn)槭峭降倪^程,所以可以用try catch來捕捉錯(cuò)誤
9.原理的實(shí)現(xiàn)
sha256哈希算法,可以用nodejs的內(nèi)置加密模塊crypto, 生成base64字符串,要注意的是生成base64需要為+ - = 做一下替換,=被省略、+替換成-,/替換成_ 。這就是 Base64URL 算法。
token令牌的組成是header, payload和sigin的通過.來組成
base64urlUnescape的解碼是固定寫法,decode出base64的內(nèi)容
let myJwt = { sign(content,secret){ let r = crypto.createHmac('sha256',secret).update(content).digest('base64'); return this.base64urlEscape(r) }, base64urlEscape(str){ return str.replace(/\+/g, '-').replace(/\//g, '_').replace(/=/g, ''); }, toBase64(content){ return this.base64urlEscape(Buffer.from(JSON.stringify(content)).toString('base64')) }, encode(username,secret){ let header = this.toBase64({ typ: 'JWT', alg: 'HS256' }); let content = this.toBase64(username); let sign = this.sign([header,content].join('.'),secret); return [header,content,sign].join('.') }, base64urlUnescape(str) { str += new Array(5 - str.length % 4).join('='); return str.replace(/\-/g, '+').replace(/_/g, '/'); }, decode(token,secret){ let [header,content,sign] = token.split('.'); let newSign = this.sign([header,content].join('.'),secret); if(sign === newSign){ return Buffer.from(this.base64urlUnescape(content),'base64').toString(); }else{ throw new Error('被篡改') } } }
10.jwt的優(yōu)缺點(diǎn)
- JWT默認(rèn)不加密,但可以加密。生成原始令牌后,可以使用改令牌再次對其進(jìn)行加密。
- 當(dāng)JWT未加密方法是,一些私密數(shù)據(jù)無法通過JWT傳輸。
- JWT不僅可用于認(rèn)證,還可用于信息交換。善用JWT有助于減少服務(wù)器請求數(shù)據(jù)庫的次數(shù)。
- JWT的最大缺點(diǎn)是服務(wù)器不保存會話狀態(tài),所以在使用期間不可能取消令牌或更改令牌的權(quán)限。也就是說,一旦JWT簽發(fā),在有效期內(nèi)將會一直有效。
- JWT本身包含認(rèn)證信息,因此一旦信息泄露,任何人都可以獲得令牌的所有權(quán)限。為了減少盜用,JWT的有效期不宜設(shè)置太長。對于某些重要操作,用戶在使用時(shí)應(yīng)該每次都進(jìn)行進(jìn)行身份驗(yàn)證。
- 為了減少盜用和竊取,JWT不建議使用HTTP協(xié)議來傳輸代碼,而是使用加密的HTTPS協(xié)議進(jìn)行傳輸。
到此這篇關(guān)于nodejs實(shí)現(xiàn)jwt的示例代碼的文章就介紹到這了,更多相關(guān)node實(shí)現(xiàn)jwt內(nèi)容請搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持腳本之家!
相關(guān)文章
node+express+jade制作簡單網(wǎng)站指南
上文我們介紹了使用node+express+ejs制作頁面,今天我們來看看使用node+express+jade制作簡單網(wǎng)站,本文記錄了一下整個(gè)搭建過程,給需要的小伙伴們參考下吧2014-11-11Nodejs實(shí)現(xiàn)短信驗(yàn)證碼功能
使用Nodejs的開發(fā)者愈來越多,基于Nodejs的后臺開發(fā)也多了起來,像短信驗(yàn)證碼、短信群發(fā)、國際短信這些需求,完全可以采用第三方接口來實(shí)現(xiàn),云片就提供了這樣的接口2017-02-02深入了解 Node的多進(jìn)程服務(wù)實(shí)現(xiàn)
本文主要介紹了Node的多進(jìn)程服務(wù)實(shí)現(xiàn),文中通過示例代碼介紹的非常詳細(xì),對大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值,需要的朋友們下面隨著小編來一起學(xué)習(xí)學(xué)習(xí)吧2022-06-06node.JS md5加密中文與php結(jié)果不一致的解決方法
本篇文章主要介紹了node.JS md5加密中文與php結(jié)果不一致的解決方法,具有很好的參考價(jià)值。下面跟著小編一起來看下吧2017-05-05零基礎(chǔ)之Node.js搭建API服務(wù)器的詳解
今天小編就為大家分享一篇關(guān)于零基礎(chǔ)之Node.js搭建API服務(wù)器的詳解,小編覺得內(nèi)容挺不錯(cuò)的,現(xiàn)在分享給大家,具有很好的參考價(jià)值,需要的朋友一起跟隨小編來看看吧2019-03-03