GoLang jwt無感刷新與SSO單點登錄限制解除方法詳解
前言
為什么使用JWT
Jwt提供了生成token以及token驗證的方法，而token是一種不用存儲在服務端，只需要由用戶攜帶即可實現(xiàn)認證的一種方式。在介紹JWT之前，我們也應該先了解cookie和session。
Cookie和Session
為每一位用戶設定一個SessionID，每次都需要對該SessionID進行比對。這個SessionID可能會保存在Cookie中，安全性不高，并且容易過期(一般session的過期時間都為30分鐘)。由于cookie和session需要保存在服務端，當用戶量非常大的時候，服務端的負載就會越來越大。甚至有因此崩潰的可能。所以采用token認證的方式。
token (header.payload.signature)
每個用戶在進行登錄的時候如果登錄信息正確就會收到服務端頒發(fā)的令牌token。當用戶每次進行請求時都會攜帶一個token。該token會在服務端進行校驗處理，復雜一點還需要經(jīng)過一系列中間件的處理，確認token格式和參數(shù)是否正確。如果一切正常就需要對該用戶的本次操作進行放行。
token 安全性
如果token被非用戶人員獲取到，由于token已經(jīng)頒發(fā)，在此token生效期間服務端無法對其進行解除，因為它并不在服務端內部進行保存。也就是說服務端的token一旦頒發(fā)就無法取消。
基于token安全性的處理
access token 和 refresh token
以下access token簡稱 atoken，refresh token 簡稱 rtoken。無感刷新方式。
在用戶登錄的時候頒發(fā)兩個token，atoken 和 rtoken。atoken 的有效期很短，根據(jù)業(yè)務實際需求可以自定義。一般設置為10分鐘足夠。rtoken有效期較長，一般可以設置為一星期或者一個月，根據(jù)實際業(yè)務需求可以自行定義。（根據(jù)查詢資料得知 rtoken需要進行client-sercet才能有效）。當atoken過期之后可以通過rtoken進行刷新，但是rtoken過期之后，只能重新登錄來獲取。
當atoken丟失之后沒關系，因為它有效期很短。當rtoken丟失之后也沒關系，因為他需要配合client-sercet才能使用。
客戶端與服務端基于無感刷新流程圖
golang實現(xiàn)atoken和rtoken
引入jwt庫 go get -u github.com/golang-jwt/jwt/v4
頒發(fā)token
// GenToken 頒發(fā)token access token 和 refresh token
func GenToken(UserID int64, Username string) (atoken, rtoken string, err error) {
rc := jwt.RegisteredClaims{
ExpiresAt: getJWTTime(ATokenExpiredDuration),
Issuer: TokenIssuer,
}
at := MyClaim{
UserID,
Username,
rc,
}
atoken, err = jwt.NewWithClaims(jwt.SigningMethodHS256, at).SignedString(mySecret)
// refresh token 不需要保存任何用戶信息
rt := rc
rt.ExpiresAt = getJWTTime(RTokenExpiredDuration)
rtoken, err = jwt.NewWithClaims(jwt.SigningMethodHS256, rt).SignedString(mySecret)
return
}
在驗證用戶登錄之后，根據(jù)傳入的UID和Uname，生成atoken和rtoken。在頒發(fā)token中可以規(guī)定token的過期時間
func (t *Token) SignedString(key interface{}) (string, error)
SignedString creates and returns a complete, signed JWT. The token is signed using the SigningMethod specified in the token.
SignedString該方法主要用于token的數(shù)字簽名
校驗token
// VerifyToken 驗證Token
func VerifyToken(tokenID string) (*MyClaim, error) {
var myc = new(MyClaim)
token, err := jwt.ParseWithClaims(tokenID, myc, keyFunc)
if err != nil {
return nil, err
}
if !token.Valid {
return nil, ErrorInvalidToken
}
return myc, nil
}
根據(jù)傳入的token值來判斷是否有錯誤，如果錯誤為無效，說明token格式不正確。然后校驗token是否過期。
無感刷新token
// RefreshToken 通過 refresh token 刷新 atoken
func RefreshToken(atoken, rtoken string) (newAtoken, newRtoken string, err error) {
// rtoken 無效直接返回
if _, err = jwt.Parse(rtoken, keyFunc); err != nil {
return
}
// 從舊access token 中解析出claims數(shù)據(jù)
var claim MyClaim
_, err = jwt.ParseWithClaims(atoken, &claim, keyFunc)
// 判斷錯誤是不是因為access token 正常過期導致的
v, _ := err.(*jwt.ValidationError)
if v.Errors == jwt.ValidationErrorExpired {
return GenToken(claim.UserID, claim.Username)
}
return
}
注釋已經(jīng)寫得很明白了，會根據(jù)舊的atoken和rtoken來返回新token。
完整實現(xiàn)代碼
package main
import (
"errors"
"time"
"github.com/golang-jwt/jwt/v4"
)
const (
ATokenExpiredDuration = 2 * time.Hour
RTokenExpiredDuration = 30 * 24 * time.Hour
TokenIssuer = ""
)
var (
mySecret = []byte("xxxx")
ErrorInvalidToken = errors.New("verify Token Failed")
)
type MyClaim struct {
UserID int64 `json:"user_id"`
Username string `json:"username"`
jwt.RegisteredClaims
}
func getJWTTime(t time.Duration) *jwt.NumericDate {
return jwt.NewNumericDate(time.Now().Add(t))
}
func keyFunc(token *jwt.Token) (interface{}, error) {
return mySecret, nil
}
// GenToken 頒發(fā)token access token 和 refresh token
func GenToken(UserID int64, Username string) (atoken, rtoken string, err error) {
rc := jwt.RegisteredClaims{
ExpiresAt: getJWTTime(ATokenExpiredDuration),
Issuer: TokenIssuer,
}
at := MyClaim{
UserID,
Username,
rc,
}
atoken, err = jwt.NewWithClaims(jwt.SigningMethodHS256, at).SignedString(mySecret)
// refresh token 不需要保存任何用戶信息
rt := rc
rt.ExpiresAt = getJWTTime(RTokenExpiredDuration)
rtoken, err = jwt.NewWithClaims(jwt.SigningMethodHS256, rt).SignedString(mySecret)
return
}
// VerifyToken 驗證Token
func VerifyToken(tokenID string) (*MyClaim, error) {
var myc = new(MyClaim)
token, err := jwt.ParseWithClaims(tokenID, myc, keyFunc)
if err != nil {
return nil, err
}
if !token.Valid {
err = ErrorInvalidToken
return nil, err
}
return myc, nil
}
// RefreshToken 通過 refresh token 刷新 atoken
func RefreshToken(atoken, rtoken string) (newAtoken, newRtoken string, err error) {
// rtoken 無效直接返回
if _, err = jwt.Parse(rtoken, keyFunc); err != nil {
return
}
// 從舊access token 中解析出claims數(shù)據(jù)
var claim MyClaim
_, err = jwt.ParseWithClaims(atoken, &claim, keyFunc)
// 判斷錯誤是不是因為access token 正常過期導致的
v, _ := err.(*jwt.ValidationError)
if v.Errors == jwt.ValidationErrorExpired {
return GenToken(claim.UserID, claim.Username)
}
return
}SSO(Single Sign On)單用戶登錄以及無感刷新token
實現(xiàn)思路
因為token是由服務端頒發(fā)并且每次用戶的操作都要在服務端校驗token的有效性。因此兩個用戶在不同時間段登錄同一個賬號，那么他們的token肯定會因為時間而有所差別。我們可以將token存放在redis中，與用戶ID進行key-value綁定。如果通過userID查詢到的token不同，那么說明這個用戶的token已經(jīng)被更換（該賬號又被登錄了）或者token錯誤。就需要重新進行登錄操作。
實戰(zhàn)代碼
// parts[1]是獲取到的atoken，我們使用之前定義好的解析JWT的函數(shù)來解析它
mc, err := jwt.VerifyToken(parts[1])
if err != nil {
// 如果解析失敗，可能是因為token過期，可以進入refreshToken進行判斷
if newAtoken, newRtoken, err := jwt.RefreshToken(parts[1],rtoken); err == nil {
// 如果無錯誤，就更新redis中的token
if err = redis.SetSingleUserToken(mc.Username, newAtoken); err == nil {
// 這里根據(jù)需求返回給前端，由前端進行處理
c.Writer.Header().Set("newAtoken", newAtoken)
c.Writer.Header().Set("newRtoken", newRtoken)
// 如果無錯誤，請求繼續(xù)
c.Next()
}
}
// 這里使用的是gin框架， 如果有錯誤直接阻止并返回
c.Abort()
return
}
// 如果解析成功，就在redis中進行判斷，是否單用戶登錄
// 通過獲取redis中的token來校驗是否單用戶登錄
token, err := redis.GetSingleUserToken(mc.Username)
if err != nil {
serializer.ResponseError(c, e.CodeServerBusy)
c.Abort()
return
}
判斷過程
- 請求從前端傳來，經(jīng)過認證中間件進行校驗token，如果沒有問題就進行redis單用戶校驗。
- 如果有問題，可能是token過期。進行無感刷新，如果刷新成功將新token設置在header中，請求繼續(xù)
- 如果無感刷新失敗請求阻止。
小結
- token需要保存在客戶端中，由前端代碼進行管理。后端只需做校驗和刷新處理。
- 如果使用雙token就用無感刷新。
- 如果使用單token就用token校驗。
- SSO單點登錄限制可以通過redis實現(xiàn)。
到此這篇關于GoLang jwt無感刷新與SSO單點登錄限制解除方法詳解的文章就介紹到這了,更多相關Go jwt無感刷新內容請搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關文章希望大家以后多多支持腳本之家！
相關文章
這篇文章主要介紹了詳解golang RWMutex讀寫互斥鎖源碼分析，小編覺得挺不錯的，現(xiàn)在分享給大家，也給大家做個參考。一起跟隨小編過來看看吧2018-06-06
在Golang中，有兩個包提供了rand，分別為math/rand和crypto/rand對應兩種應用場景。math/rand包實現(xiàn)了偽隨機數(shù)生成器。也就是生成 整形和浮點型；crypto/rand包實現(xiàn)了用于加解密的更安全的隨機數(shù)生成器。本文就來和大家詳細講講math/rand的使用2022-08-08
用go語言實現(xiàn)WebAssembly數(shù)據(jù)加密的示例講解
在Web開發(fā)中,有時候為了提升安全性需要對數(shù)據(jù)進行加密,由于js代碼相對比較易讀,直接在js中做加密安全性較低,而WebAssembly代碼不如js易讀,本文提供一個用go語言實現(xiàn)的WebAssembly數(shù)據(jù)加密示例,需要的朋友可以參考下2024-03-03
這篇文章主要介紹了Go語言的context包從放棄到入門,本文通過實例演示給大家介紹的非常詳細，對大家的學習或工作具有一定的參考借鑒價值，需要的朋友可以參考下2020-12-12
golang實現(xiàn)openssl自簽名雙向認證的詳細步驟
這篇文章主要介紹了golang實現(xiàn)openssl自簽名雙向認證的詳細步驟,本文分步驟給大家介紹的非常詳細,對大家的學習或工作具有一定的參考借鑒價值,需要的朋友參考下吧2024-03-03
這篇文章主要介紹了golang 打印error的堆棧信息操作，具有很好的參考價值，希望對大家有所幫助。一起跟隨小編過來看看吧2021-05-05
golang 并發(fā)安全Map以及分段鎖的實現(xiàn)方法
這篇文章主要介紹了golang 并發(fā)安全Map以及分段鎖的實現(xiàn)方法，小編覺得挺不錯的，現(xiàn)在分享給大家，也給大家做個參考。一起跟隨小編過來看看吧2019-03-03
本文主要講述SetMaxOpenConns(),?SetMaxIdleConns()?和?SetConnMaxLifetime()方法，?您可以使用它們來配置sql.DB的行為并改變其性能，感興趣的可以了解一下2021-12-12
GoLang中panic與recover函數(shù)以及defer語句超詳細講解
這篇文章主要介紹了GoLang的panic、recover函數(shù)，以及defer語句，文中通過示例代碼介紹的非常詳細，對大家的學習或者工作具有一定的參考學習價值，需要的朋友們下面隨著小編來一起學習吧2023-01-01
go mutex互斥鎖使用Lock和Unlock方法占有釋放資源
Go號稱是為了高并發(fā)而生的,在高并發(fā)場景下,勢必會涉及到對公共資源的競爭,當對應場景發(fā)生時,我們經(jīng)常會使用 mutex 的 Lock() 和 Unlock() 方法來占有或釋放資源,雖然調用簡單,但 mutex 的內部卻涉及挺多的,本文來好好研究一下2023-09-09