JWT——超越身份验证的利器：护航现代分布式应用安全

前端

2023-11-28 02:04:14

使用 JSON Web 令牌（JWT）简化身份验证和授权

在现代分布式应用中，身份验证和授权是至关重要的，它们确保只有授权用户才能访问受保护的资源。随着微服务架构的兴起，传统的身份验证方法（如会话 cookie）已无法满足分布式应用的需求。

JSON Web 令牌：一种现代的身份验证和授权机制

JSON Web 令牌（JWT）应运而生，它是一种专为分布式应用设计的身份验证和授权机制。JWT 使用紧凑的 JSON 格式来表示用户身份信息，并使用数字签名来确保信息的完整性和真实性。

JWT 的组成部分和工作原理

JWT 由三部分组成：

头部（Header）： 包含 JWT 的元数据，如算法类型和令牌类型。
主体（Payload）： 包含用户身份信息，如用户名、邮箱和角色。
签名（Signature）： 使用头部和主体计算出的数字签名，用于验证令牌的完整性和真实性。

JWT 的工作流程通常如下：

客户端向服务器发送身份验证请求，提供用户名和密码。
服务器验证用户名和密码，如果验证通过，则生成 JWT 并返回给客户端。
客户端将 JWT 存储在本地（如 cookie 或本地存储中）。
当客户端需要访问受保护的资源时，它将在请求头中携带 JWT。
服务器收到请求后，会验证 JWT 的有效性，如果验证通过，则允许客户端访问受保护的资源。

JWT 的用途和优势

JWT 广泛用于各种场景，包括：

身份验证： 验证用户的身份，确保只有授权用户才能访问受保护的资源。
授权： 授权用户访问特定的资源，如 API 端点或文件。
单点登录（SSO）： 允许用户使用一个令牌访问多个应用程序。
会话管理： 管理用户的会话，而无需使用会话 cookie。

JWT 具有以下优势：

紧凑： 使用紧凑的 JSON 格式表示用户身份信息，因此可以轻松地在网络上传输。
独立： 自包含，不需要依赖其他信息即可验证。
安全： 使用数字签名来确保令牌的完整性和真实性。
跨域： 可以轻松地在不同域之间传输，而无需担心跨域问题。
无状态： 无状态，因此可以轻松地扩展到分布式系统中。

使用 JWT 进行身份验证和授权的实战示例

以下是一个使用 JWT 进行身份验证和授权的简单示例：

服务器端代码：

from flask import Flask, request, jsonify
from jwt import encode, decode, exceptions

app = Flask(__name__)

# 定义一个密钥，用于生成和验证 JWT
SECRET_KEY = "your-secret-key"

# 定义用户数据
users = [
    {"username": "john", "password": "password1"},
    {"username": "mary", "password": "password2"},
]

# 登录接口
@app.route("/login", methods=["POST"])
def login():
    # 获取用户名和密码
    data = request.get_json()
    username = data["username"]
    password = data["password"]

    # 验证用户名和密码
    user = next((user for user in users if user["username"] == username and user["password"] == password), None)
    if user is None:
        return jsonify({"error": "Invalid username or password"}), 401

    # 生成 JWT
    token = encode({"username": username}, SECRET_KEY, algorithm="HS256")

    # 返回 JWT
    return jsonify({"token": token})

# 受保护的资源接口
@app.route("/protected", methods=["GET"])
def protected():
    # 获取 JWT
    token = request.headers.get("Authorization")

    # 验证 JWT
    try:
        decoded_token = decode(token, SECRET_KEY, algorithms=["HS256"])
    except exceptions.DecodeError:
        return jsonify({"error": "Invalid token"}), 401

    # 获取用户名
    username = decoded_token["username"]

    # 返回受保护的资源
    return jsonify({"message": f"Welcome, {username}!"})

if __name__ == "__main__":
    app.run()

客户端代码：

// 登录并获取 JWT
const login = async (username, password) => {
  const response = await fetch("/login", {
    method: "POST",
    headers: {
      "Content-Type": "application/json",
    },
    body: JSON.stringify({
      username,
      password,
    }),
  });

  const data = await response.json();
  return data.token;
};

// 使用 JWT 访问受保护的资源
const getProtectedResource = async (token) => {
  const response = await fetch("/protected", {
    headers: {
      "Authorization": `Bearer ${token}`,
    },
  });

  const data = await response.json();
  return data;
};

// 使用示例
const main = async () => {
  // 登录并获取 JWT
  const token = await login("john", "password1");

  // 使用 JWT 访问受保护的资源
  const data = await getProtectedResource(token);

  // 打印受保护的资源
  console.log(data);
};

main();