教你玩轉(zhuǎn)JWT認(rèn)證---從一個(gè)優(yōu)惠券聊起|時(shí)快訊

2023-06-07 10:15:55來源：京東云開發(fā)者社區(qū) 責(zé)任編輯：武曉燕

引言

最近面試過程中，無意中跟候選人聊到了JWT相關(guān)的東西，也就聯(lián)想到我自己關(guān)于JWT落地過的那些項(xiàng)目。

關(guān)于JWT，可以說是分布式系統(tǒng)下的一個(gè)利器，我在我的很多項(xiàng)目實(shí)踐中，認(rèn)證系統(tǒng)的第一選擇都是JWT。它的優(yōu)勢會(huì)讓你欲罷不能，就像你領(lǐng)優(yōu)惠券一樣。

大家回憶一下一個(gè)場景，如果你和你的女朋友想吃某江家的烤魚了，你會(huì)怎么做呢？

【資料圖】

傳統(tǒng)的時(shí)代，我想場景是這樣的：我們走進(jìn)一家某江家餐廳，會(huì)被服務(wù)員引導(dǎo)一個(gè)桌子，然后我們開始點(diǎn)餐，服務(wù)原會(huì)記錄我們點(diǎn)餐信息，然后在送到后廚去。這個(gè)過程中，那個(gè)餐桌就相當(dāng)于session，而我們的點(diǎn)餐信息回記錄到這個(gè)session之中，然后送到后廚。這個(gè)是一個(gè)典型的基于session的認(rèn)證過程。但我們也發(fā)現(xiàn)了它的弊端，就是基于session的這種認(rèn)證，對服務(wù)器強(qiáng)依賴，而且信息都是存儲(chǔ)在服務(wù)器之上，靈活性和擴(kuò)展性大大降低。

而互聯(lián)網(wǎng)時(shí)代，大眾點(diǎn)評、美團(tuán)、餓了么給了我們另一個(gè)選擇，我們可能第一時(shí)間會(huì)在這些平臺(tái)上搜索江邊城外的優(yōu)惠券，這個(gè)優(yōu)惠券中可能會(huì)描述著兩人實(shí)惠套餐明細(xì)。這張優(yōu)惠券就是我們的 JWT，我們可以在任何一家有參與優(yōu)惠活動(dòng)的餐廳使用這張優(yōu)惠券，而不必被限制在同一家餐廳。同時(shí)這張優(yōu)惠券中直接記錄了我們的點(diǎn)餐明細(xì)，等我們到了餐廳，只需要將優(yōu)惠券二維碼告知服務(wù)員，服務(wù)員就會(huì)給我們端上我們想要的食物。

好了，以上只是一個(gè)小例子，其實(shí)只是想說明一下JWT相較于傳統(tǒng)的基于session的認(rèn)證框架的優(yōu)勢。

JWT 的優(yōu)勢在于它可以跨域、跨服務(wù)器使用，而 Session 則只能在本域名下使用。而且，JWT 不需要在服務(wù)端保存用戶的信息，只需要在客戶端保存即可，這減輕了服務(wù)端的負(fù)擔(dān)。這一點(diǎn)在分布式架構(gòu)下優(yōu)勢還是很明顯的。

什么是JWT

說了這么多，如何定義JWT呢？

JWT（JSON Web Token）是一種用于在網(wǎng)絡(luò)應(yīng)用中進(jìn)行身份驗(yàn)證的開放標(biāo)準(zhǔn)（RFC7519）。它可以安全地在用戶和服務(wù)器之間傳輸信息，因?yàn)樗褂脭?shù)字簽名來驗(yàn)證數(shù)據(jù)的完整性和真實(shí)性。

JWT包含三個(gè)部分：頭部、載荷和簽名。頭部包含算法和類型信息，載荷包含用戶的信息，簽名用于驗(yàn)證數(shù)據(jù)的完整性和真實(shí)性。

額外說一下poload，也就是負(fù)荷部分，這塊是jwt的核心模塊，它內(nèi)部包括一些聲明（claims）。聲明由三個(gè)類型組成：

Registered Claims：這是預(yù)定義的聲明名稱，主要包括以下幾種：

iss：Token 發(fā)行者sub：Token 主題aud：Token的受眾exp：Token 過期時(shí)間iat：Token發(fā)行時(shí)間jti：Token唯一標(biāo)識(shí)符

Public Claims：公共聲明是自己定義的聲明名稱，以避免沖突。

Private Claims：私有聲明與公共聲明類似，不同之處在于它是用于在雙方之間共享信息的。

當(dāng)用戶登錄時(shí)，服務(wù)器將生成一個(gè)JWT，并將其作為響應(yīng)返回給客戶端?？蛻舳藢⒃诤罄m(xù)的請求中發(fā)送此JWT。服務(wù)器將使用相同的密鑰驗(yàn)證JWT的簽名，并從載荷中獲取用戶信息。如果簽名驗(yàn)證通過并且用戶信息有效，則服務(wù)器將允許請求繼續(xù)進(jìn)行。

JWT優(yōu)點(diǎn)

JWT優(yōu)點(diǎn)如果我們系統(tǒng)的總結(jié)一下，如下：

跨語言和平臺(tái)：JWT是基于JSON標(biāo)準(zhǔn)的，因此可以在不同的編程語言和平臺(tái)之間進(jìn)行交換和使用。無狀態(tài)：由于JWT包含所有必要的信息，服務(wù)器不需要在每個(gè)請求中存儲(chǔ)任何會(huì)話數(shù)據(jù)，因此可以輕松地進(jìn)行負(fù)載均衡。安全性：JWT使用數(shù)字簽名來驗(yàn)證數(shù)據(jù)的完整性和真實(shí)性，因此可以防止數(shù)據(jù)被篡改或偽造。可擴(kuò)展性：JWT可以包含任何用戶信息，因此可以輕松地?cái)U(kuò)展到其他應(yīng)用程序中。一個(gè)基于JWT認(rèn)證的方案

我將舉一個(gè)我實(shí)際業(yè)務(wù)落地的一個(gè)例子。

我的業(yè)務(wù)場景中一般都會(huì)有一個(gè)業(yè)務(wù)網(wǎng)關(guān)，該網(wǎng)關(guān)的核心功能就是鑒權(quán)和上線文轉(zhuǎn)換。用戶請求會(huì)將JWT字符串存與header之中，然后到網(wǎng)關(guān)后進(jìn)行JWT解析，解析后的上下文信息，會(huì)轉(zhuǎn)變成明文K-V的方式在此存于header之中，供系統(tǒng)內(nèi)部各個(gè)微服務(wù)之間互相調(diào)用時(shí)提供明文上下文信息。具體時(shí)序圖如下：

基于Spring security的JWT實(shí)踐

JWT原理很簡單，當(dāng)然，你可以完全自己實(shí)現(xiàn)JWT的全流程，但是，實(shí)際中，我們一般不需要這么干，因?yàn)橛泻芏喑墒旌秃糜玫妮喿犹峁┙o我們，而且封裝性和安全性也遠(yuǎn)比自己匆忙的封裝一個(gè)簡單的JWT來的高。

如果是基于學(xué)習(xí)JWT，我是建議大家自己手寫一個(gè)demo的，但是如果重實(shí)踐的角度觸發(fā)，我們完全可以使用Spring Security提供的JWT組件，來高效快速的實(shí)現(xiàn)一個(gè)穩(wěn)定性和安全性都非常高的JWT認(rèn)證框架。

以下是我基于我的業(yè)務(wù)實(shí)際情況，根據(jù)保密性要求，簡化了的JWT實(shí)踐代碼。也算是拋磚引玉，希望可以給大家在業(yè)務(wù)場景中運(yùn)用JWT做一個(gè)參考。

maven依賴

首先，我們需要添加以下依賴到pom.xml文件中：

org.springframework.bootspring-boot-starter-securityio.jsonwebtokenjjwt0.9.1

JWT工具類封裝

然后，我們可以創(chuàng)建一個(gè)JwtTokenUtil類來生成和驗(yàn)證JWT令牌：

import io.jsonwebtoken.Claims;import io.jsonwebtoken.Jwts;import io.jsonwebtoken.SignatureAlgorithm;import org.springframework.beans.factory.annotation.Value;import org.springframework.security.core.userdetails.UserDetails;import org.springframework.stereotype.Component;import java.util.Date;import java.util.HashMap;import java.util.Map;import java.util.function.Function;@Componentpublic class JwtTokenUtil {    private static final long JWT_TOKEN_VALIDITY = 5 * 60 * 60;    @Value("${jwt.secret}")    private String secret;    public String generateToken(UserDetails userDetails) {        Map claims = newHashMap <>();        return createToken(claims, userDetails.getUsername());    }    private String createToken(Map claims, String subject) {        Date now = new Date();        Date expiration = new Date(now.getTime() + JWT_TOKEN_VALIDITY * 1000);        return Jwts.builder()                .setClaims(claims)                .setSubject(subject)                .setIssuedAt(now)                .setExpiration(expiration)                .signWith(SignatureAlgorithm.HS256, secret)                .compact();    }    public boolean validateToken(String token, UserDetails userDetails) {        final String username = extractUsername(token);        return (username.equals(userDetails.getUsername()) && !isTokenExpired(token));    }    private boolean isTokenExpired(String token) {        return extractExpiration(token).before(new Date());    }    public String extractUsername(String token) {        return extractClaim(token, Claims::getSubject);    }    public Date extractExpiration(String token) {        return extractClaim(token, Claims::getExpiration);    }    private  T extractClaim(String token, Function claimsResolver) {        final Claims claims = extractAllClaims(token);        return claimsResolver.apply(claims);    }    private Claims extractAllClaims(String token) {        return Jwts.parser().setSigningKey(secret).parseClaimsJws(token).getBody();    }}

在這個(gè)實(shí)現(xiàn)中，我們使用了jjwt庫來創(chuàng)建和解析JWT令牌。我們定義了以下方法：

generateToken：生成JWT令牌。createToken：創(chuàng)建JWT令牌。validateToken：驗(yàn)證JWT令牌是否有效。isTokenExpired：檢查JWT令牌是否過期。extractUsername：從JWT令牌中提取用戶名。extractExpiration：從JWT令牌中提取過期時(shí)間。extractClaim：從JWT令牌中提取指定的聲明。extractAllClaims：從JWT令牌中提取所有聲明。UserDetailsService類定義

接下來，我們可以創(chuàng)建一個(gè)自定義的UserDetailsService，用于驗(yàn)證用戶登錄信息：

import org.springframework.beans.factory.annotation.Autowired;import org.springframework.security.core.userdetails.User;import org.springframework.security.core.userdetails.UserDetails;import org.springframework.security.core.userdetails.UserDetailsService;import org.springframework.security.core.userdetails.UsernameNotFoundException;import org.springframework.stereotype.Service;@Servicepublic class JwtUserDetailsService implements UserDetailsService {    @Autowired    private UserRepository userRepository;    @Override    public UserDetails loadUserByUsername(String username)            throws UsernameNotFoundException {        UserEntity user = userRepository.findByUsername(username);        if (user == null) {            throw new UsernameNotFoundException("User not found with username: " + username);        }        return new User(user.getUsername(), user.getPassword(),                new ArrayList<>());    }}

在這個(gè)實(shí)現(xiàn)中，我們使用了UserRepository來檢索用戶信息。我們實(shí)現(xiàn)了UserDetailsService接口，并覆蓋了loadUserByUsername方法，以便驗(yàn)證用戶登錄信息。

JwtAuthenticationFilter定義

接下來，我們可以創(chuàng)建一個(gè)JwtAuthenticationFilter類，用于攔截登錄請求并生成JWT令牌：

import com.fasterxml.jackson.databind.ObjectMapper;import org.springframework.security.authentication.AuthenticationManager;import org.springframework.security.authentication.UsernamePasswordAuthenticationToken;import org.springframework.security.core.Authentication;import org.springframework.security.core.AuthenticationException;import org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter;import javax.servlet.FilterChain;import javax.servlet.ServletException;import javax.servlet.http.HttpServletRequest;import javax.servlet.http.HttpServletResponse;import java.io.IOException;import java.util.Collections;import java.util.Date;public class JwtAuthenticationFilter extends UsernamePasswordAuthenticationFilter {    private final AuthenticationManager authenticationManager;    private final JwtTokenUtil jwtTokenUtil;    public JwtAuthenticationFilter(AuthenticationManager authenticationManager, JwtTokenUtil jwtTokenUtil) {        this.authenticationManager = authenticationManager;        this.jwtTokenUtil = jwtTokenUtil;    }    @Override    public Authentication attemptAuthentication(HttpServletRequest request, HttpServletResponse response) throws AuthenticationException {        try {            LoginRequest loginRequest = new ObjectMapper().readValue(request.getInputStr eam(), LoginRequest.class);            return authenticationManager.authenticate(                    new UsernamePasswordAuthenticationToken(loginRequest.getUsername(), loginRequest.getPassword(), Collections.emptyList())            );        } catch (IOException e) {            throw new RuntimeException(e);        }    }    @Override    protected void successfulAuthentication(HttpServletRequest request, HttpServletResponse response, FilterChain chain, Authentication authResult)throwsIOException,ServletException {        UserDetails userDetails = (UserDetails) authResult.getPrincipal();        String token = jwtTokenUtil.generateToken(userDetails);        response.addHeader("Authorization", "Bearer " + token);    }    private static class LoginRequest {        private String username;        private String password;        public String getUsername() {            return username;        }        public void setUsername(String username) {            this.username = username;        }        public String getPassword() {            return password;        }        public void setPassword(String password) {            this.password = password;        }    }}

在這個(gè)實(shí)現(xiàn)中，我們繼承了UsernamePasswordAuthenticationFilter類，并覆蓋了attemptAuthentication和successfulAuthentication方法，以便在登錄成功時(shí)生成JWT令牌并將其添加到HTTP響應(yīng)頭中。

Spring Security配置類

最后，我們可以創(chuàng)建一個(gè)Spring Security配置類，以便配置驗(yàn)證和授權(quán)規(guī)則：

import org.springframework.beans.factory.annotation.Autowired;import org.springframework.context.annotation.Bean;import org.springframework.context.annotation.Configuration;import org.springframework.security.authentication.AuthenticationManager;import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;import org.springframework.security.config.annotation.method.configuration.EnableGlobalMethodSecurity;import org.springframework.security.config.annotation.web.builders.HttpSecurity;import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;import org.springframework.security.config.http.SessionCreationPolicy;import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;import org.springframework.security.crypto.password.PasswordEncoder;import org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter;@Configuration@EnableWebSecurity@EnableGlobalMethodSecurity(prePostEnabled = true)public class SecurityConfig extends WebSecurityConfigurerAdapter {    @Autowired    private JwtUserDetailsService jwtUserDetailsService;    @Autowired    private JwtAuthenticationEntryPoint jwtAuthenticationEntryPoint;    @Autowired    private JwtTokenUtil jwtTokenUtil;    @Override    protected void configure(HttpSecurity http) throws Exception {        http.csrf().disable()                .authorizeRequests().antMatchers("/authenticate").permitAll()                .anyRequest().authenticated().and()                .exceptionHandling().authenticationEntryPoint(jwtAuthenticationEntryPoint).and()                .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS);        http.addFilterBefore(newJwtAuthenticationFilter(authenticationManager(), jwtTokenUtil), UsernamePasswordAuthenticationFilter.class);    }    @Override    protected void configure(AuthenticationManagerBuilder auth) throws Exception {        auth.userDetailsService(jwtUserDetailsService).passwordEncoder(passwordEncoder());    }    @Override    @Bean    public AuthenticationManager authenticationManagerBean() throws Exception {        return super.authenticationManagerBean();    }    @Bean    public PasswordEncoder passwordEncoder() {        return new BCryptPasswordEncoder();    }}

在這個(gè)實(shí)現(xiàn)中，我們使用JwtUserDetailsService來驗(yàn)證用戶登錄信息，并使用JwtAuthenticationEntryPoint來處理驗(yàn)證錯(cuò)誤。

我們還配置了JwtAuthenticationFilter來生成JWT令牌，并將其添加到HTTP響應(yīng)頭中。我們還定義了一個(gè)PasswordEncoderbean，用于加密用戶密碼。

調(diào)試接口驗(yàn)證

現(xiàn)在，我們可以向/authenticate端點(diǎn)發(fā)送POST請求，以驗(yàn)證用戶登錄信息并生成JWT令牌。例如：

bashcurl -X POST \  http://localhost:8080/authenticate \  -H "Content-Type: application/json"\  -d "{    "username": "user",    "password": "password"}"

如果登錄信息驗(yàn)證成功，將返回一個(gè)帶有JWT令牌的HTTP響應(yīng)頭。我們可以使用這個(gè)令牌來訪問需要授權(quán)的端點(diǎn)。例如：

bashcurl -X GET \  http://localhost:8080/hello \  -H "Authorization: Bearer eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiJ1c2VyIiwiaWF0IjoxNjI0MDM2NzA4LCJleHAiOjE2MjQwMzc1MDh9.9fZS7jPp0NzB0JyOo4y4jO4x3s3KjV7yW1nLzV7cO_c"

在這個(gè)示例中，我們向/hello端點(diǎn)發(fā)送GET請求，并在HTTP頭中添加JWT令牌。如果令牌有效并且用戶有權(quán)訪問該端點(diǎn)，則返回一個(gè)成功的HTTP響應(yīng)。

總結(jié)

JWT是一種簡單、安全和可擴(kuò)展的身份驗(yàn)證機(jī)制，適用于各種應(yīng)用程序和場景。它可以減少服務(wù)器的負(fù)擔(dān)，提高應(yīng)用程序的安全性，并且可以輕松地?cái)U(kuò)展到其他應(yīng)用程序中。

但是JWT也有一定的缺點(diǎn)，比如他的payload模塊并沒有明確說明一定要加密傳輸，所以當(dāng)你沒有額外做一些安全性措施的情況下，jwt一旦被別人截獲，很容易泄漏用戶信息。所以，如果要增加JWT的在實(shí)際項(xiàng)目中的安全性，安全加固措施必不可少，包括加密方式，秘鑰的保存，JWT的過期策略等等。

當(dāng)然實(shí)際中的認(rèn)證鑒權(quán)框架不止有JWT，JWT只是解決了用戶上下文傳輸?shù)膯栴}。實(shí)際項(xiàng)目中經(jīng)常是JWT結(jié)合其他認(rèn)證系統(tǒng)一同使用，比如OAuth2.0。這里篇幅有限，就不展開。以后有機(jī)會(huì)再單獨(dú)寫一篇關(guān)于OAuth2.0認(rèn)證架構(gòu)的文章。