SpringSecurity之权限中JWT应用

目录

前言

什么是J W T

1、访问令牌

2、J W T组成内容

J W T 头

有效载荷

签名哈希

Base64URL算法

---

前言

上一篇我们讲解了SpringSecurity之微服务权限解决方案，接下来我们看看在微服务中使用到的凭证Tokens的生成工具J W T

什么是J W T

1、访问令牌

自包含令牌	透明令牌
授权服务器进行令牌的颁发操作，包含了关于用户的元数据信息和声明（claims） 通过对签名的检验，期望的颁发者（issuer）、期望的接收人（auienced）以及scope。资源服务器可以在本地对令牌进行校验操作，通常实现签名的的JSON Web Tokens，也就是我们常说的J W T	随机生成字符串标识符，无法简单地猜测授权服务器是怎么办法和存储的。 资源服务器必须通过后台渠道发送回OAuth2授权服务器的令牌检查端点，这样才能检验令牌的有效状态，并且获取claims/scopes等其他的额外信息

2、J W T组成内容

eyJhbGciOiJIUzUxMiIsInppcCI6IkdaSVAifQ.H4sIAAAAAAAA_6tWKi5NUrJSSkzJzcxT0lFKzs8tSMyr9ExRssorzcnRUSotTi3yS8xNRVKTWlGgZGVoZm5hZGJsaW4BUQPSYQhklmZCtdYCAOmbbppbAAAA.wEtXn_lWnbqVDcTOyD_D2YbbZnHLljCpMqaOqXcecCXjTcfk8yvUQTO7EED-DKmSKoQ9Y8FaXNzaBWRoscPCbA

结构：base64url(Header)+base64url(Claims)+base64url(Signature)

其中三段之间使用“."隔开的。

从上面的结构我们可以看出来，其实这个凭证信息就是由三段字符串组成，中间有英文句号改开。组成一个很长的字符串凭证。

其实，每个子字符串都是一个功能模块，三个部分分别是:J W T头、有效载荷以及签名信息

J W T 头

这个头部分描述的是一个J W T元数据的json对象，通常如下所示：

{

“alg”：“HS256”,"typ":"JWT"

}

从上面的代码，alg属性他是标识签名使用的算法，默认的是HMAC SHA256;

type属性标识令牌的一个类型，J W T令牌他的统一写法就是J W T。然后在使用Base64url的算反将其转为字符串后进行保存。

有效载荷

这一部分就是我们的凭证的主体内容部分了，其实就是一个Json的对象，其中就含有传递的数据。他提供了7个字段供我们来选择

iss	发行人
exp	到期的时间
sub	主题信息
aud	用户信息
nbf	在这之前 不使用的
iat	发布的时间
jti	J W T ID用于标识 这个J W T信息

上面这个几个是我们默认的字段，我们也可以自定义自己的字段。

他也是使用Base64Url算法转换为字符串保存的。

注意：这个J W T默认是不进行加密操作的，所有人都能够解读到其内在的内容，所以在构建的时候，要谨慎使用隐私字段来存放保密信息，防止其会造成信息的泄露

签名哈希

这一部分，是对上面连个部分的数据签名操作，通过我们指定的算法进行哈希，用来确保数据不会被篡改。

1、需要指定一个密码（secret），他保存在我们服务端，不对外公布。

2、使用标头中已经制定的签名算法（默认HMAS SHA256）根据下面的公式进行签名

HMACSHA256(base64UrlEncode(header) + "." + base64UrlEncode(claims), secret)

3、计算出来签名信息的哈希后，J W T头、有效载荷以及签名信息三个子串组成一个整体字符串，每个部分中间用“.”隔开，这样就构成了我们完整的J W T对象信息

Base64URL算法

J W T 头和有效载荷的序列化算法他们都用到了 Base64URL。

该算法和常见 Base64算法类似，稍有差别。

作为凭证的J W T可以放在URL中（例如 api.example/?token=xxx）。 Base64 中用的三个 字符是"+"，"/"和"="，由于在 URL 中有特殊含义，因此 Base64URL 中对他们做了替换： "="去掉，"+"用"-"替换，"/"用"_"替换，这就是 Base64URL 算法。

好了，关于J W T应用就介绍到这里！

欢迎大家点击下方卡片，关注《coder练习生》