session共享解决方案 - JWT详解
目录
一. session流程
二. 分布式应用的session共享
三. JWT的组成
四. header介绍
五. payload介绍
六. signature介绍
七. base64url算法
八. JWT的使用方式
九. JWT的特点
十. java代码简单实现
一. session流程
1. 用户向服务器发送用户名和密码
2. 服务器验证通过后，在当前会话session里保存信息
3. 服务器向用户返回一个session id，写入到cookie中
4. 用户之后的每次请求都会携带cookie,将session id传给服务器
5. 服务器根据session id 查找以前保存的信息
二. 分布式应用的session共享
实现方式：
- tomcat集群session共享。缺点：有广播风暴；用户量比较大的时候，占用资源比较严重。
- Redis存储token。服务端使用UUID随机生成64位或者128位token放到Redis中，然后返回给客户端的cookie里。用户每次访问，服务端去Redis那里，去验证用户是否存在。缺点：网络开销较大。
- JsonWebToken。
三. JWT的组成
JWT的组成：（头部 + 负载 + 签名）
Header.Payload.Signature
四. header介绍
header用于描述JWT的元数据。
{ "alg": "HS256", "typ": "JWT" }
大多数的header如上图。
alg：签名使用的算法。（默认是HMAC SHA256，简写为：HS256）
typ：令牌的类型。统一写JWT。
最后使用Base64URL算法将其转成字符串。
五. payload介绍
payload用于存放实际需要传递的数据。
官方规定的七个字段供选用，如下：
- iss (issuer)：签发人
- exp (expiration time)：过期时间
- sub (subject)：主题
- aud (audience)：受众
- nbf (Not Before)：生效时间
- iat (Issued At)：签发时间
- jti (JWT ID)：编号
也可以有一些自定义的字段。
切勿把密码等敏感信息放到payload里。（payload没有加密处理）
最后使用Base64URL算法将其转成字符串。
六. signature介绍
signature是对上面两个的签名。
需要制定一个secret，然后使用header指定的算法，产生签名。方法如下：
HMACSHA256(
base64UrlEncode(header) + "." +
base64UrlEncode(payload),
secret)七. base64url算法
前面提到的算法是Base64URL，这个算法跟 Base64 算法基本类似，但有一些小的不同。
Base64Url 有三个字符+、/和=，在 URL 里面有特殊含义，所以要被替换掉：=被省略、+替换成-，/替换成_ 。
八. JWT的使用方式
1. 放到请求头里的 Authorization: Bearer
2. 放到请求的数据体里
九. JWT的特点
（1）JWT 默认是不加密，但也是可以加密的。生成原始 Token 以后，可以用密钥再加密一次。
（2）JWT 不加密的情况下，不能将秘密数据写入 JWT。
（3）JWT 不仅可以用于认证，也可以用于交换信息。有效使用 JWT，可以降低服务器查询数据库的次数。
（4）JWT 的最大缺点是，由于服务器不保存 session 状态，因此无法在使用过程中废止某个 token，或者更改 token 的权限。也就是说，一旦 JWT 签发了，在到期之前就会始终有效，除非服务器部署额外的逻辑。
（5）JWT 本身包含了认证信息，一旦泄露，任何人都可以获得该令牌的所有权限。为了减少盗用，JWT 的有效期应该设置得比较短。对于一些比较重要的权限，使用时应该再次对用户进行认证。
（6）为了减少盗用，JWT 不应该使用 HTTP 协议明码传输，要使用 HTTPS 协议传输。
十. java代码简单实现
payload可以加一些自定义字段。这里我传个User对象，把User对象的id,name, img加入进去。放到.claim()里。K-V的形式。
import io.jsonwebtoken.Claims;
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;
import java.util.Date;
import java.util.UUID;
public class JWT {
private static final String SECRET = "usdfsdJSDG";
private static final String SUBJECT = "TOM";
private static final long EXPIRE_TIME = 1000 * 60 * 60;
private static final long EFFECT_TIME = 0;
private static final String ISSUER = "Selina";
private static final long ISSUE_TIME = 0;
private static final String ID = UUID.randomUUID().toString();
public static String generateJsonWebToken() {
String token = Jwts.builder().setSubject(SUBJECT)
.setId(ID)
.setIssuer(ISSUER)
.setExpiration(new Date(EXPIRE_TIME + System.currentTimeMillis()))
.setNotBefore(new Date(EFFECT_TIME + System.currentTimeMillis()))
.setIssuedAt(new Date(ISSUE_TIME + System.currentTimeMillis()))
.claim("username", "tom")
.claim("password", "123")
.claim("userId", 1)
.signWith(SignatureAlgorithm.HS256, SECRET)
.compact();
return token;
}
public static Claims getClaimsFromToken(String token) {
return Jwts.parser().setSigningKey(SECRET).parseClaimsJws(token).getBody();
}
public static void main(String[] args) {
String token = generateJsonWebToken();
Claims claims = getClaimsFromToken(token);
Integer userId = claims.get("userId", Integer.class);
String username = claims.get("username", String.class);
System.out.println(userId + "," + username);
}
}
第一个方法： （用于生成JWT字符串）
.set**()：用于设置一些官方定义的字段。
.signWith()：签名。第一个参数是加密的算法，第二个参数是指定的秘钥。
.compact() ：把字符串拼凑起来。
第二个方法：（用于获取自定义字段）
.setSigningKey() ： 参数里写的是秘钥。
.parseClaimsJws() ：解析jwt字符串。
.getBody()：获取自定义字段。