最近了解下基于 Token 的身份验证，跟大伙分享下。很多大型网站也都在用，比如 Facebook，Twitter，Google+，Github 等等，比起传统的身份验证方法，Token 扩展性更强，也更安全点，非常适合用在 Web 应用或者移动应用上。Token 的中文有人翻译成 “令牌”，我觉得挺好，意思就是，你拿着这个令牌，才能过一些关卡。

传统身份验证的方法

HTTP 是一种没有状态的协议，也就是它并不知道是谁是访问应用。这里我们把用户看成是客户端，客户端使用用户名还有密码通过了身份验证，不过下回这个客户端再发送请求时候，还得再验证一下。

解决的方法就是，当用户请求登录的时候，如果没有问题，我们在服务端生成一条记录，这个记录里可以说明一下登录的用户是谁，然后把这条记录的 ID 号发送给客户端，客户端收到以后把这个 ID 号存储在 Cookie 里，下次这个用户再向服务端发送请求的时候，可以带着这个 Cookie ，这样服务端会验证一个这个 Cookie 里的信息，看看能不能在服务端这里找到对应的记录，如果可以，说明用户已经通过了身份验证，就把用户请求的数据返回给客户端。

上面说的就是 Session，我们需要在服务端存储为登录的用户生成的 Session ，这些 Session 可能会存储在内存，磁盘，或者数据库里。我们可能需要在服务端定期的去清理过期的 Session 。

基于 Token 的身份验证方法

使用基于 Token 的身份验证方法，在服务端不需要存储用户的登录记录。大概的流程是这样的：

  1. 客户端使用用户名跟密码请求登录
  2. 服务端收到请求，去验证用户名与密码
  3. 验证成功后，服务端会签发一个 Token，再把这个 Token 发送给客户端
  4. 客户端收到 Token 以后可以把它存储起来，比如放在 Cookie 里或者 Local Storage 里
  5. 客户端每次向服务端请求资源的时候需要带着服务端签发的 Token
  6. 服务端收到请求，然后去验证客户端请求里面带着的 Token，如果验证成功，就向客户端返回请求的数据

JWT

实施 Token 验证的方法挺多的，还有一些标准方法，比如 JWT，读作：jot ，表示：JSON Web Tokens 。JWT 标准的 Token 有三个部分：

  1. header
  2. payload
  3. signature

中间用点分隔开，并且都会使用 Base64 编码，所以真正的 Token 看起来像这样：

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJuaW5naGFvLm5ldCIsImV4cCI6IjE0Mzg5NTU0NDUiLCJuYW1lIjoid2FuZ2hhbyIsImFkbWluIjp0cnVlfQ.SwyHTEx_RQppr97g4J5lKXtabJecpejuef8AqKYMAJc
Header

header 部分主要是两部分内容，一个是 Token 的类型，另一个是使用的算法，比如下面类型就是 JWT，使用的算法是 HS256。

{
 "typ": "JWT",
 "alg": "HS256"
}

上面的内容要用 Base64 的形式编码一下，所以就变成这样：

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9

Payload

Payload 里面是 Token 的具体内容，这些内容里面有一些是标准字段，你也可以添加其它需要的内容。下面是标准字段：

  1. iss：Issuer，发行者
  2. sub：Subject，主题
  3. aud：Audience，观众
  4. exp：Expiration time，过期时间
  5. nbf：Not before
  6. iat：Issued at，发行时间
  7. jti：JWT ID

比如下面这个 Payload ，用到了 iss 发行人，还有 exp 过期时间。另外还有两个自定义的字段，一个是 name ，还有一个是 admin 。

{
 "iss": "ninghao.net",
 "exp": "1438955445",
 "name": "wanghao",
 "admin": true
}

使用 Base64 编码以后就变成了这个样子：

eyJpc3MiOiJuaW5naGFvLm5ldCIsImV4cCI6IjE0Mzg5NTU0NDUiLCJuYW1lIjoid2FuZ2hhbyIsImFkbWluIjp0cnVlfQ

Signature

JWT 的最后一部分是 Signature ，这部分内容有三个部分，先是用 Base64 编码的 header.payload ，再用加密算法加密一下，加密的时候要放进去一个 Secret ，这个相当于是一个密码，这个密码秘密地存储在服务端。

  1. header
  2. payload
  3. secret
var encodedString = base64UrlEncode(header) + "." + base64UrlEncode(payload); 
HMACSHA256(encodedString, 'secret');

处理完成以后看起来像这样：

SwyHTEx_RQppr97g4J5lKXtabJecpejuef8AqKYMAJc

最后这个在服务端生成并且要发送给客户端的 Token 看起来像这样：

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJuaW5naGFvLm5ldCIsImV4cCI6IjE0Mzg5NTU0NDUiLCJuYW1lIjoid2FuZ2hhbyIsImFkbWluIjp0cnVlfQ.SwyHTEx_RQppr97g4J5lKXtabJecpejuef8AqKYMAJc

客户端收到这个 Token 以后把它存储下来，下回向服务端发送请求的时候就带着这个 Token 。服务端收到这个 Token ，然后进行验证，通过以后就会返回给客户端想要的资源。

相关链接
http://jwt.io/
https://github.com/firebase/php-jwt
https://scotch.io/tutorials/the-anatomy-of-a-json-web-token
https://github.com/auth0/jwt-decode

以上就是本文的全部内容，希望对大家的学习有所帮助，也希望大家多多支持脚本之家。

您可能感兴趣的文章:
  • node实现基于token的身份验证
  • php 后端实现JWT认证方法示例
  • php JWT在web端中的使用方法教程
  • 基于Token的身份验证之JWT基础教程

转载请注明出处:http://www.jlunlp.com/article/20230401/11923.html

随机推荐

  1. 基于ASP.NET Core数据保护生成验证token示例

    ASP.NET Core Data Protection 不仅提供了非对称加密能力，而且提供了灵活的秘钥存储方式以及一致的加解密接口（Protect与Unprotect）。Session中用到了它，Cookie验证中用到了它，OpenId...

  2. 如何使用angularjs向Paypal REST API发出基于token的GET请求？

    我正在尝试通过付款ID获得付款状态使用贝宝的REST API的documentation。我已经集成了Express Checkout，所以现在我想看看客户完成的付款状态。要做到这一点，如文档中所述，我首先通过执行以下POST请求获取访问令...

  3. 基于Redis的token限流实现

    造轮子的过程也是学习的过程。 如果公司的 Redis 不支持发布订阅指令的话，是没法用 Redisson 的，因为 Redisson 的大部分功能都依赖于 Redis 的发布订阅指令。 这是完整实现的代码仓库：https://gitee....

  4. 浅谈基于Token的WEB后台认证机制

    几种常用的认证机制 HTTP Basic Auth HTTP Basic Auth简单点说明就是每次请求API时都提供用户的username和password，简言之，Basic Auth是配合RESTful API 使用的最简单的认证方...

  5. 基于.Net核心Api - Token的认证限制删除表中任意记录问题

    我正在开发.NET核心上的Web API。我添加了身份验证方法，即基于令牌的身份验证(JWT)来验证用户。我可以为用户生成令牌，并验证令牌是否过期。但是，我尝试用A用户的令牌删除B用户的记录，并且用A用户的令牌成功删除了B用户的记录。如何限...

  6. Java实现基于token认证的方法示例

    随着互联网的不断发展，技术的迭代也非常之快。我们的用户认证也从刚开始的用户名密码转变到基于cookie的session认证，然而到了今天，这种认证已经不能满足与我们的业务需求了（分布式，微服务）。我们采用了另外一种认证方式：基于token...

  7. asp.net core MVC之实现基于token的认证

    安装Nuget包 项目中添加包：dotnet add package Microsoft.AspNetCore.Authentication.JwtBearer 添加认证配置 Startup类中添加如下配置： public voi...

  8. 我的API是基于IP还是基于JWT token限速？

    我在我的API上实现了速率限制。我可以自定义它将使用哪个键来限制调用。我的软件是公司的SaaS web应用程序，所以我认为使用IP地址的速率限制键可能不好，因为我的客户可能有多个用户，并从同一个IP拨打多个电话。因此，我的下一个选择是使用J...

  9. 基于thinkPHP3.2实现微信接入及查询token值的方法

    本文实例讲述了基于thinkPHP3.2实现微信接入及查询token值的方法。分享给大家供大家参考，具体如下： 1.在con.fig文件里面配置TOKEN，APPID，APPSECRET值 2.控制器WeixinController代码：...

  10. 前端token过期的处理(基于vue框架)和展示后端报错message

    1.描述这个技术是做什么？ 项目中若前端未对token过期进行处理，token过期后仍然会停留在原页面，用户可以进行一系列的操作。但是由于后端有进行token过期的判断，会造成用户的所有请求报401错误，若前端没有加以控制，会导致用户不明...