JSON Web Token入门
简介
JSON Web Token(JWT)是是目前最流行的跨域认证(Authentication)解决方案。
基于 session 的认证方案,在服务器集群或跨域的多系统中,难以实现一次登录多端共享。此时,有两种方案。
一种是,将 session 数据持久化,所有子系统都向持久层请求数据。这种方案优点是架构清晰,缺点是工程量大,另外如果持久层挂机,所有系统都无法登录;
另一种是,服务器不保存 session 数据,所有数据保存在客户端,每次请求都发回服务器。JWT 就是这种方案的一个代表。
关于用户认证和用户授权的区别:
- 用户认证(Authentication):让用户登录,确认用户拥有该账户,举例来说登录服务器;
- 用户授权(Authorization):鉴别用户是否有某项操作的权限,举例来说 root 用户可以修改
/etc/hosts
文件。
原理
服务端初次认证以后,生成一个 JSON 对象,发回给用户。例如:
|
|
在此之后,用户与服务端通信时带上这个 JSON 对象,服务器只靠这个对象认定用户身份,服务器不保存任何 session 数据。也就是说,服务器变成无状态了,从而比较容易实现扩展。
为了防止用户篡改数据,服务器在生成这个对象的时候,会加上签名(签名密钥存储在服务器上)。
数据结构
JWT 是一个没有换行长字符串,中间用 .
分隔为三部分。三个部分依次为:头部(Header)、负载(Payload)和签名(Signature)。即:
|
|
Header
Header 部分描述 JWT 的元数据,是一个 JSON 对象。
|
|
alg
属性表示签名的算法(algorithm),默认是 HMAC SHA256(写成HS256
);typ
属性表示这个令牌(token)的类型(type),JWT 令牌统一写为JWT
。
最后,将上面的 JSON 对象使用 Base64URL(注意不是常用的 Base64) 算法转成字符串。
Payload
Payload 部分用来存储实际需要传输的数据。JWT 规定了 7 个官方字段,供选用。
iss
(issuer):签发人exp
(expiration time):过期时间sub
(subject):主题aud
(audience):受众nbf
(Not Before):生效时间iat
(Issued At):签发时间jti
(JWT ID):编号
除了官方字段,也可以自定义私有字段,例如:
|
|
注意,JWT 默认是不加密的,不能在 Payload 中放秘密信息。
这个 JSON 对象也要使用 Base64URL 算法转成字符串。
Signature
Signature 部分是对前两部分的数据进行签名,防止数据篡改。计算签名所使用的密钥(secret)应安全存储在服务器端,不能泄露给用户。
使用 Header 中指定的签名算法(默认是 HMAC SHA256),按照下面的公式产生签名(Python 示例)。
|
|
算出签名以后,把 Header、Payload、Signature 三个部分拼成一个字符串,每个部分之间用"点"(.
)分隔,就可以返回给用户。
Base64URL
JWT 作为一个令牌(token),有些场合可能会放到 URL 中,例如 api.example.com/?token=xxx。
Base64 有三个字符 +
、/
和 =
,在 URL 里面有特殊含义,所以要被替换掉:=
被省略、+
替换成 -
,/
替换成 _
。这就是 Base64URL 算法。
使用场景
简单认证
向用户发送的通知邮件,需要用户点击链接做一些不太重要的操作时,例如退订、填写问卷等等。此时可以在链接 URL 中带上 JWT —— 既可以认证用户(防止他人伪造链接),又不需要用户登录。
单点登录
如果是同一域名下的多个子域名站点的单点登录,可以将 JWT 放在 cookie 中,并将 domain
设置为顶级域名。例如:
|
|
如果涉及到跨域,可以把 JWT 放在 HTTP 请求的头信息 Authorization
字段里面,或者放在 POST 请求的数据体里面;
|
|
特点
- JWT 默认是不加密,但也是可以加密的。生成原始 Token 以后,可以用密钥再加密一次。
- JWT 不加密的情况下,不能将秘密数据写入 JWT。
- JWT 不仅可以用于认证,也可以用于交换信息。有效使用 JWT,可以降低服务器查询数据库的次数。
- JWT 的最大缺点是,由于服务器不保存 session 状态,因此无法在使用过程中废止某个 token,或者更改 token 的权限。也就是说,一旦 JWT 签发了,在到期之前就会始终有效,除非服务器部署额外的逻辑。
- JWT 本身包含了认证信息,一旦泄露,任何人都可以获得该令牌的所有权限。为了减少盗用,JWT 的有效期应该设置得比较短。对于一些比较重要的权限,使用时应该再次对用户进行认证。
- 为了减少盗用,JWT 不应该使用 HTTP 协议明码传输,要使用 HTTPS 协议传输。