谈前端鉴权、后端鉴权：怎能长久迷茫？谈谈我的应对策略

2023-11-14 17:37:19

前言

在软件开发中，鉴权是一个重要的安全措施，它可以控制用户对系统资源的访问权限。鉴权通常分为前端鉴权和后端鉴权。前端鉴权是指在客户端进行鉴权，例如登录时输入用户名和密码。后端鉴权是指在服务器端进行鉴权，例如验证用户是否拥有访问某个资源的权限。

前端鉴权方案

前端鉴权的常用方案包括：

Cookie： Cookie是一种由服务器发送给客户端的包含用户身份标识的小文件。客户端在每次请求时都会将Cookie发送给服务器，服务器通过Cookie来识别用户。Cookie简单易用，但安全性较低，容易受到跨站脚本攻击（XSS）和跨站请求伪造（CSRF）攻击。
Session： Session是一种存储在服务器端的变量，用于存储用户的状态信息。Session与Cookie类似，但安全性更高，不易受到XSS和CSRF攻击。然而，Session对服务器的资源消耗较大，且存在会话固定的安全风险。
JWT（JSON Web Token）： JWT是一种轻量级、安全的鉴权令牌。JWT包含用户身份标识、有效期等信息，并使用数字签名进行加密。JWT可以存储在客户端或服务器端，安全性较高，不易受到XSS和CSRF攻击。

后端鉴权的常用方案包括：

Token： Token是一种由服务器颁发的用于标识用户身份的字符串。Token可以存储在客户端或服务器端，安全性较高，不易受到XSS和CSRF攻击。Token通常与JWT一起使用，JWT包含用户身份标识、有效期等信息，而Token则用于验证JWT的有效性。
OAuth2.0： OAuth2.0是一种开放的授权标准，允许用户授权第三方应用程序访问其数据。OAuth2.0通常用于社交登录、一键登录等场景。OAuth2.0安全性较高，不易受到XSS和CSRF攻击。
OAuth1.0： OAuth1.0是OAuth2.0的前身，是一种旧的授权标准。OAuth1.0的安全性较低，容易受到XSS和CSRF攻击。
SAML（Security Assertion Markup Language）： SAML是一种用于单点登录的协议。SAML允许用户使用一个身份认证即可访问多个系统。SAML安全性较高，不易受到XSS和CSRF攻击。
CAS（Central Authentication Service）： CAS是一种用于单点登录的开源软件。CAS允许用户使用一个身份认证即可访问多个系统。CAS安全性较高，不易受到XSS和CSRF攻击。
OIDC（OpenID Connect）： OIDC是一种基于OAuth2.0的单点登录协议。OIDC允许用户使用一个身份认证即可访问多个系统。OIDC安全性较高，不易受到XSS和CSRF攻击。