校驗json格式介面的登入狀態校驗以及JWT

最近在網上和朋友聊天，發現他在資料介面中校驗登入狀態用的還是session，在我及時勸說和科普之後，他最終決定改用jwt，那麼接下來我們就聊一聊資料介面應該怎麼管理登入狀態以及什麼是jwt

其實token和session的原理是差不多的，都是服務端將對應使用者的乙個key【sessionid,token】交給前端，前端通過token請求服務端，服務端拿到token再去驗證合法有效性，之後反查使用者，獲取使用者登入資訊。

1、服務端必須儲存token，以及有效期，校驗的時候必須要有資料讀取的過程；

2、校驗簽名的時候一般需要乙個secret做為加簽字段，前端必須也要同時儲存這個secret，這樣顯然不適合**會暴露的網頁前端。

什麼是jwt

jwt是json web token的簡稱，有官網詳細介紹，大家可以看一看，這裡只是簡單描述一下。

jwt其實就是一種特殊的token，原理和使用方法自然和token一樣。

jwt是由三部分組成的字串，結構是：頭部+主體內容(官方稱之為payload【載荷】)+簽名，三部分用「.」連線。頭部和主體內容都是json格式的字串再經過base64編碼，為了方便放在get請求中，還需要把類似「=」、「/」等特殊字元替換掉。

頭部內容是固定的，原始json就是下面這樣

中間的主體內容payload，原始json一般是類似下面這樣的

主體內容乙個是當前登入的使用者，可以是使用者名稱，使用者的唯一id；還有乙個就是過期時間exptime。當然還可以加入一些其他不私密的和系統相關的初始化資訊，注意，不要在jwt的payload或header中放置敏感資訊，除非它們是加密的;

，那麼為了得到簽名部分，你必須有編碼過的header、編碼過的payload、乙個秘鑰，簽名演算法是header中指定的那個，然對它們簽名即可。

例如：hmacsha256(base64urlencode(header) + "." + base64urlencode(payload), secret)

簽名的主要作用是用於驗證訊息在傳遞過程中有沒有被更改，並且，對於使用私鑰簽名的token，它還可以驗證jwt的傳送方是否為它所稱的傳送方，看下面官網給出的一張圖你就明白了：

下面是一張官網的認證圖：

服務端拿到jwt之後可以在不讀取資料的情況下，僅通過解碼這部分資訊就可以完成獲取登入使用者以及判斷是否過期等工作，這一點就優於我們上述講解的session的方式；

最後的簽名一般是把頭部、主體內容再加上secret拼接成字串再加密，這一步在使用者登入生成jwt的時候就完成了。服務端拿到jwt之後只需要把前兩部分加上secret再計算一次簽名加以比對就可以完成校驗簽名，前端不需要同時儲存secret，這樣也提高了安全性！

@test   public void gen1() throws ioexception )                    .withexpiresat(date)                   .sign(algorithm);           system.out.println("loglogagel:"+token);       } catch (unsupportedencodingexception exception) catch (jwtcreationexception exception)    }

目前想到以下幾點：

1、安全性：簽名包含在token中，一旦token整體被盜用，將沒有辦法區分；

2、過期時間放在token中而不是服務端儲存處理，一旦token生成並簽發出去，將無法靈活的控制有效期；

校驗json格式介面的登入狀態校驗以及JWT

Android登入介面的實現

webservice介面的呼叫登入

Kali Rolling更換登入介面的背景

校驗json格式 介面的登入狀態校驗以及JWT

Android登入介面的實現

webservice介面的呼叫 登入

Kali Rolling更換登入介面的背景

相關推薦

校驗json格式介面的登入狀態校驗以及JWT

webservice介面的呼叫登入