隨著互聯(lián)網(wǎng)的不斷發(fā)展，技術(shù)的迭代也非常之快。我們的用戶認(rèn)證也從剛開始的用戶名密碼轉(zhuǎn)變到基于cookie的session認(rèn)證，然而到了今天，這種認(rèn)證已經(jīng)不能滿足與我們的業(yè)務(wù)需求了（分布式，微服務(wù)）。我們采用了另外一種認(rèn)證方式：基于token的認(rèn)證。

一、與cookie相比較的優(yōu)勢：

1、支持跨域訪問，將token置于請求頭中，而cookie是不支持跨域訪問的；

2、無狀態(tài)化，服務(wù)端無需存儲token，只需要驗(yàn)證token信息是否正確即可，而session需要在服務(wù)端存儲，一般是通過cookie中的sessionID在服務(wù)端查找對應(yīng)的session；

3、無需綁定到一個(gè)特殊的身份驗(yàn)證方案（傳統(tǒng)的用戶名密碼登陸），只需要生成的token是符合我們預(yù)期設(shè)定的即可；

4、更適用于移動端（Android，iOS，小程序等等），像這種原生平臺不支持cookie，比如說微信小程序，每一次請求都是一次會話，當(dāng)然我們可以每次去手動為他添加cookie，詳情請查看博主另一篇博客；

5、避免CSRF跨站偽造攻擊，還是因?yàn)椴灰蕾嘽ookie；

6、非常適用于RESTful API,這樣可以輕易與各種后端（java，.net，python......）相結(jié)合，去耦合

還有一些優(yōu)勢這里就不一一列舉了。

二、基于JWT的token認(rèn)證實(shí)現(xiàn)

JWT：JSON Web Token，其實(shí)token就是一段字符串，由三部分組成：Header，Payload，Signature。詳細(xì)情況請自行百度，現(xiàn)在，上代碼。

1、引入依賴，這里選用java-jwt，選擇其他的依賴也可以

2、實(shí)現(xiàn)簽名方法

設(shè)置15分鐘過期也是出于安全考慮，防止token被竊取，不過一般選擇基于token認(rèn)證，傳輸方式我們都應(yīng)該選擇https，這樣別人無法抓取到我們的請求信息。這個(gè)私鑰是非常重要的，加密解密都需要用到它，要設(shè)置的足夠復(fù)雜并且不能被盜取，我這里選用的是一串uuid，加密方式是HMAC256。

3、認(rèn)證

我這里演示的還是以傳統(tǒng)的用戶名密碼驗(yàn)證，驗(yàn)證通過發(fā)放token。

4、配置攔截器

實(shí)現(xiàn)HandleInterceptor，重寫preHandle方法，該方法是在每個(gè)請求之前觸發(fā)執(zhí)行，從request的頭里面取出token，這里我們統(tǒng)一了存放token的鍵為accessToken，驗(yàn)證通過，放行，驗(yàn)證不通過，返回認(rèn)證失敗信息。

5、設(shè)置攔截器

這里使用的是Spring的xml配置攔截器，放過認(rèn)證接口。

6、token解碼方法

7、測試

訪問攜帶token，請求成功。

未攜帶token或者token錯(cuò)誤，過期，返回認(rèn)證失敗信息。

8、獲取token里攜帶的信息

我們可以將一些常用的信息放入token中，比如用戶登陸信息，可以方便我們的使用

至此，一個(gè)簡單的基于token認(rèn)證就實(shí)現(xiàn)了，下次我將shiro與JWT整合到一起。

git地址：https://github.com/qiaokun-sh/spring-token

以上就是本文的全部內(nèi)容，希望對大家的學(xué)習(xí)有所幫助，也希望大家多多支持腳本之家。

最新評論