gRPC的安全攻略 — 第2篇：短时间实现服务端的JWT验证

2024-01-08 20:10:08







## gRPC服务中的JWT验证

gRPC是一种现代且高效的RPC框架，广泛应用于微服务和分布式系统中。gRPC的安全十分重要，JWT（JSON Web Token）验证作为一种有效的方法，可以确保服务之间的通信安全。

## JWT简介

JWT（JSON Web Token）是一种开放标准，用于在网络上安全地传递信息。它由JSON数据组成，其中包含已编码的信息，可由接受方使用公共密钥或私钥进行验证。

JWT由三部分组成：头部、有效载荷和签名。头部中包含token类型和加密算法，有效载荷中包含实际信息，签名由头部、有效载荷和密钥进行加密。

JWT具有如下优点：

- 可靠性：JWT由头部、有效载荷和签名三部分组成，这使得它更加可靠。
- 安全性：JWT使用加密算法进行签名，这使得它非常安全。
- 灵活可扩展：JWT可以扩展用于多种用途，如验证用户身份、授权访问资源等。

## 使用rk-boot简化JWT验证

rk-boot是一个用于构建gRPC服务的开源框架，它提供了丰富的功能，包括JWT验证。

### 1. 安装依赖

```shell
mvn install -DskipTests=true

2. 添加配置

security:
  jwt:
    enabled: true
    secret-key: 'your-secret-key'
    issuer: 'your-issuer'
    audience: 'your-audience'

3. 实现 JWT 验证过滤器

@Component
public class JwtAuthenticationFilter extends OncePerRequestFilter {

    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain chain) throws ServletException, IOException {
        // 从请求头中获取 JWT token
        String token = request.getHeader("Authorization");

        if (token != null) {
            // 验证 JWT token
            try {
                JwtParser parser = Jwts.parser().setSigningKey(secretKey.getBytes());
                Jws<Claims> claimsJws = parser.parseClaimsJws(token);
                // 将用户信息添加到请求上下文中
                request.setAttribute("userId", claimsJws.getBody().getSubject());
            } catch (SignatureException e) {
                // JWT token 签名不正确
                response.setStatus(HttpStatus.UNAUTHORIZED.value());
                return;
            } catch (MalformedJwtException e) {
                // JWT token 格式不正确
                response.setStatus(HttpStatus.UNAUTHORIZED.value());
                return;
            } catch (ExpiredJwtException e) {
                // JWT token 过期
                response.setStatus(HttpStatus.UNAUTHORIZED.value());
                return;
            }
        }

        // 继续执行下一个过滤器
        chain.doFilter(request, response);
    }
}

4. 注册 JWT 验证过滤器

@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .addFilterBefore(jwtAuthenticationFilter(), BasicAuthenticationFilter.class)
            .authorizeRequests()
            .antMatchers("/api/**").authenticated()
            .and()
            .csrf().disable();
    }
}