Cookie、Session和JWT

摘要：Cookie、Session和JWT都不是什么新的技术了，最近用到了就比较和总结下。

我们知道http协议是无状态的，用户登录后如何验证和保存用户状态呢？下面来介绍

1. 使用Cookie和Session验证登录状态

        session是保存在服务端的一种数据结构，用来跟踪用户状态，使得在跨页面的时候依然可以可以识别用户信息；cookie保存在客户端一小段数据，用于识别用户跟踪用户的会话信息、存储用户偏好设置、实现购物车功能等，服务器可以在 HTTP 响应头中设置一个或多个 Cookie，并发送给用户的浏览器，浏览器接收到 Cookie 后会将其存储在本地，以便在之后的请求中将这些信息发送回服务器。

        通常会使用基于cookie和session的验证流程，大致步骤如下：

  • 用户登录：用户输入用户名和密码进行登录，通过http请求发送给服务端；
  • 创建session：服务器验证用户身份，如果验证通过，则创建一个唯一的会话标识符（Session ID），并在服务器端保存用户的会话状态信息；
  • 响应set-cookie: 服务器将生成的 Session ID 返回给客户端（响应headers的set-cookie中），客户端将 Session ID 存储在 Cookie 中；
  • 再次发送请求：客户端会在后续请求中携带cookie（cookie通常包括名称、值、域、路径、过期时间、安全标志等）；
  • 验证：服务端接收到请求时，会读取 Session ID，并根据该 ID 在服务器端查找对应的会话状态信息，以确定用户的身份和权限，最终返回特定数据。

2. session的安全性与缺点

2.1 session的安全性

        由于Session涉及到用户登录网站并与网站进行交互的整个过程，其安全性是网站安全防护中的一个重要方面。如果Session被劫持，可能会导致用户账户被恶意登录、网站被篡改，甚至登录网站后台，获取管理员权限。

        虽然session通常设置HttpOnly禁止前端读取，只能浏览器读取（HTTPS设置Secure）。但是还需要从多方面才采取措施提高安全：

  • 确保生成Session ID 具有足够的随机性，避免预测性和重复性。Session ID在不同的版本和软件中不同，通常的session ID生成规则： 随机数加时间加上JVM的ID值；
按照规则生成的session ID：
JSESSIONID=E0B8F15BF5ADF35ACFD741BC85CDF5CB; Path=/; HttpOnly;
  • 在传输 Session ID 时采用 HTTPS 协议，确保数据在传输过程中进行加密，防止被中间人攻击截取。
  • 用户登录后重新生成 Session ID，避免使用登录之前的 Session ID，或使用用框架或库提供的防范措施，如Spring Security中的SessionManagementFilter。
  • Session注销机制，设置合理的 Session 过期时间，在一定时间内用户无操作自动失效。
  • 避免在 Session 中存储敏感信息对于需要在 Session 中存储的信息，进行加密处理或者对数据进行适当的脱敏处理。
  • 记录 Session 操作日志，监控 Session 活动，及时发现异常活动，如异地登录等，便于追踪和排查问题。
2.2 session的缺点

        服务器端资源消耗：每个用户会话都需要在服务器端维护相应的状态信息，这可能会消耗大量的内存和服务器资源，尤其是在高并发场景下。

        扩展性差：尤其对于服务器集群，或者是跨域的服务导向架构，要求 session 数据共享，如何解决每台服务器都可以读取Session。此时的解决方案可以是Session数据持久化，写入数据库（如Redis）或者别的持久层，所有服务都想持久层请求Session数据。但是这样做的工作量巨大，且依然存在持久层挂了的风险。另一种方案就是使用JWT，将相关数据存储在客户端，下接将详细介绍JWT方案。

3. JWT 介绍

3.1 JWT的原理

        JSON Web Tokens（缩写 JWT）是目前最流行的跨域认证解决方案[1]，解决了Session验证资源消耗和扩展性差的缺点。其官网是：

JSON Web Tokens - jwt.ioJSON Web Token (JWT) is a compact URL-safe means of representing claims to be transferred between two parties. The claims in a JWT are encoded as a JSON object that is digitally signed using JSON Web Signature (JWS).icon-default.png?t=N7T8https://jwt.io/

        首先，JWT的组成包括三个部分 ： Header.Payload.Singnature

        Header部分：主要包括alg属性和typ属性。alg表示签名算法(algorithm)，默认是HMAC SHA256(写成HS56)；typ表示令牌(token)类型(type)，JWT令牌统一写为JWT。

        通过base64url的转码，生成JWT中的显示内容（可使用一下链接验真Base64URL Code:https://thrysoee.dk/base64url/ ），此处为：eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9

{
  "alg": "HS256",
  "typ": "JWT"
}

        Payload部分：消息体用于存放业务数据，是一个JSON对象。注意，JWT 默认是不加密的，任何人都可以读到，所以不要把秘密信息放在这个部分。

{
  "sub": "1234567890",
  "name": "John Doe",
  "iat": 1516239022
}

        Signature 部分：对前两部分的签名，验证消息的完整性和真实性，防止数据篡改。签名的计算要使用 Header 中指定的算法和秘钥，确保只有持有秘钥的一方才能生成有效的签名。通过secret进行算法的签名，这样任何对于内容的篡改都会被识别出来

HMACSHA256(
  base64UrlEncode(header) + "." +
  base64UrlEncode(payload), 
  your-256-bit-secret
) secret base64 encoded
3.2 JWT和 Session的比较

        先看下JWT的流程，于cookie和session类似，主要区别在于session验证是将相关信息存储在服务器这一端，而JWT没有将任何信息存储在服务器。

        上面我们已经介绍session具有简单、方便的优点，也具有扩展性差、需要存储数据的缺点。对于JWT来说的优缺点：

优点： 减少存储开销、可扩展性强、同时用于认证和交换信息、防止被伪造和篡改

缺点：默认不加密，不适合保存敏感信息、无法临时废止、登出需要额外处理、有效期不易评估、网络开销相对高（Token比较长）

4. 实操用户验证从session升级为JWT

        下面将介绍将Session登录验证升级为JWT，通过将JWT的Token返回给用户，并在登录时使用headers 带上Token验证：

        首先，pom.xml先引入依赖java-jwt

<!-- pom.xml中引入生成JWT的依赖 -->
<dependency>
  <groupId>com.auth0</groupId>
  <artifactId>java-jwt</artifactId>
  <version>3.14.0</version>
</dependency>

        然后，使用 Java-JWT 库来生成 JWT Token ，具体过程如下：

  1. 创建加密算法对象 Algorithm： Algorithm algorithm = Algorithm.HMAC256(Constant.JWT_KEY); 使用 HMAC256 加密算法，并传入预设的密钥 Constant.JWT_KEY 来创建一个加密算法对象。 algorithm。 HMAC256 是一种基于哈希函数的消息认证码算法，用于对数据进行完整性验证和身份认证。

  2. 生成 JWT Token： String token = JWT.create()...sign(algorithm); 调用 JWT.create() 方法创建一个 JWT Token 构建器对象，该对象用于设置 JWT 的各种声明和信息。 使用 withClaim(key, value) 方法为 Token 添加声明（Claim），其中： Constant.USER_NAME：将用户的用户名作为声明的键，对应 user.getUsername() 方法返回的值； Constant.USER_ID：将用户的 ID 作为声明的键，对应 user.getId() 方法返回的值； Constant.USER_ROLE：将用户的角色作为声明的键，对应 user.getRole() 方法返回的值； withExpiresAt(date)：设置 Token 的过期时间，即 Token 在指定的时间点之后将会失效。 sign(algorithm)：使用之前创建的加密算法对象 algorithm 对 Token 进行签名，确保 Token 的完整性和安全性。

  3. 生成 Token 字符串：

    最终将生成的 JWT Token 转换为字符串形式，并赋值给变量 token。具体代码如下

@GetMapping("/loginWithJwt") // 定义URL
@ResponseBody  //Spring会自动将Controller方法的返回值转换为适当的响应格式（如JSON、XML等），并将其作为HTTP响应的实体内容返回。
public ApiRestResponse loginWithJwt(@RequestParam String userName, @RequestParam String password) throws ImoocMallException {
    // userName和password不能为空校验
    if(StringUtils.isEmpty(userName)){
        return ApiRestResponse.error(ImoocMallExceptionEnum.NEED_USER_NAME);
    }
    if(StringUtils.isEmpty(password)){
        return ApiRestResponse.error(ImoocMallExceptionEnum.NEED_PASSWORD);
    }
    // 密码长度不能小于8位
    if(password.length()<8){
        return ApiRestResponse.error(ImoocMallExceptionEnum.PASSWORD_TOO_SHORT);
    }
    User user = userService.login(userName,password);
    user.setPassword(null);  // 保存用户信息时，不保存密码；避免password被直接返回，导致不安全
    // 生成JWT
    Algorithm algorithm = Algorithm.HMAC256(Constant.JWT_KEY);  // JWT_KEY用于对JWT加解密
    String token = JWT.create()
            .withClaim(Constant.USER_NAME, user.getUsername())
            .withClaim(Constant.USER_ID, user.getId())
            .withClaim(Constant.USER_ROLE, user.getRole())
            // 过期时间
            .withExpiresAt(new Date(System.currentTimeMillis() + Constant.EXPIRE_TIME))
            .sign(algorithm);
    return ApiRestResponse.success(token);
}

        使用Postman验证接口生成的JWT，如图

        将上述上述JWT值放入官网，验证JWT中解析的内容和接口请求携带的内容是否一致。

        完成JWT的生成，登录后如何校验？此时需要在升级过滤器Filter中的校验逻辑。

        首先，通过强制类型转换获取 HttpServletRequest 对象，并从请求头中获取 JWT Token，即 token 变量。

        然后，处理请求执行校验逻辑。若请求方法是 OPTIONS，则直接放行，不做任何处理。

        若请求方法非 OPTIONS，判断 token 是否为空：

        token为空即用户未登录，则提示客户端需要提供 JWT Token，并结束请求。

        token不为空，则进行JWT Token验证。使用 HMAC256 算法和预先定义的常量 JWT_KEY 初始化算法，然后通过 JWTVerifier 对象进行验证，通过则返回一个DecodedJWT对象 jwt，其包含了解码后的JWT Token信息。再解析其中的用户信息，并将用户信息存储到 currentUser 对象中，并通过 userThreadLocal 存储到当前线程的 ThreadLocal 中。若 token 过期或解码失败，则抛出相应的异常。

        最后，对于通过身份验证的请求，继续执行原有的业务逻辑，调用 filterChain.doFilter 方法传递给下一个过滤器或目标 Servlet 处理。

        具体代码实现如下：

public static ThreadLocal<User> userThreadLocal = new ThreadLocal();
public User currentUser = new User();

@Override
public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException {
    HttpServletRequest request = (HttpServletRequest) servletRequest;
    String token = request.getHeader(Constant.JWT_TOKEN); // 前后端约定好key,此处为jwt_token
    if ("OPTIONS".equals(request.getMethod())) {
        filterChain.doFilter(servletRequest, servletResponse);
    } else {
        if (token == null){  // 检验是否登录,未登录则
            PrintWriter out = new HttpServletResponseWrapper((HttpServletResponse) servletResponse).getWriter();
            out.write("{\n"
                    + "    \"status\": 10007,\n"
                    + "    \"msg\": \"NEED_JWT_TOKEN\",\n"
                    + "    \"data\": null\n"
                    + "}");
            out.flush();
            out.close();
            return;
        }
        // 验证JWT 是否有效
        Algorithm algorithm = Algorithm.HMAC256(Constant.JWT_KEY);
        JWTVerifier verifier = JWT.require(algorithm).build();
        try {
            DecodedJWT jwt = verifier.verify(token);
            currentUser = new User();
            currentUser.setId(jwt.getClaim(Constant.USER_ID).asInt());
            currentUser.setRole(jwt.getClaim(Constant.USER_ROLE).asInt());
            currentUser.setUsername(jwt.getClaim(Constant.USER_NAME).asString());
            userThreadLocal.set(currentUser);
        } catch (TokenExpiredException e) {
            // token过期，抛出异常
            throw new ImoocMallException(ImoocMallExceptionEnum.TOKEN_EXPIRED);
        } catch (JWTDecodeException e) {
            // 解码失败，抛出异常
            throw new ImoocMallException(ImoocMallExceptionEnum.TOKEN_WRONG);
        }
    }

    // 通过校验，则原有逻辑继续执行
    filterChain.doFilter(servletRequest, servletResponse);
}

[1] JSON Web Token 入门教程 https://www.ruanyifeng.com/blog/2018/07/json_web_token-tutorial.html

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mfbz.cn/a/417484.html

如若内容造成侵权/违法违规/事实不符，请联系我们进行投诉反馈qq邮箱809451989@qq.com，一经查实，立即删除！

相关文章

【中科院计算所】WSDM 2024冠军方案：基于大模型进行多文档问答

【中科院计算所】WSDM 2024冠军方案：基于大模型进行多文档问答

作者&#xff1a;李一鸣 张兆 中科院计算所 会话式多文档问答旨在根据检索到的文档以及上下文对话来回答特定问题。 在本文中&#xff0c;我们介绍了 WSDM Cup 2024 中“对话式多文档 QA”挑战赛的获胜方法&#xff0c;该方法利用了大型语言模型 (LLM) 卓越的自然语言理解和生…
阅读更多...
项目解决方案: 实时视频拼接方案介绍

项目解决方案: 实时视频拼接方案介绍

目 录 1、实时视频拼接概述 2、适用场景 3、系统介绍 3.1拼接形式 3.1.1横向拼接 3.1.2纵向拼接 3.2前端选择 3.2.1前端类型 3.2.2推荐配置 3.3后端选择 3.3.1录像回放 3.3.2客户端展示 4、拼接方案介绍 4.1基于4K摄像机的拼接方案 4.1.1系统架构…
阅读更多...
安秉源代码加密，不仅可以正常加密，对编译调试无任何影响

安秉源代码加密，不仅可以正常加密，对编译调试无任何影响

源代码防泄密对于很多企业来讲都在使用&#xff0c;特别是在广东一些做智能制造的企业&#xff0c;这些企业在很早就意识到源代码防泄密的重要性&#xff0c;很多企业采用加密的方式对企业的源代码进行加密&#xff0c;也采用了相对应的加密软件&#xff0c;但是在使用一些加密…
阅读更多...
Javaweb之SpringBootWeb案例之 SpringBoot原理的详细解析

Javaweb之SpringBootWeb案例之 SpringBoot原理的详细解析

3. SpringBoot原理 SpringBoot使我们能够集中精力地去关注业务功能的开发&#xff0c;而不用过多地关注框架本身的配置使用。而我们前面所讲解的都是面向应用层面的技术&#xff0c;接下来我们开始学习SpringBoot的原理&#xff0c;这部分内容偏向于底层的原理分析。 在剖析Sp…
阅读更多...
P沟道与N沟道MOSFET的基本概念

P沟道与N沟道MOSFET的基本概念

N沟道与P沟道MOSFET基本原理与区别 学习MOSFET时的简单笔记作为个人总结&#xff0c;仅供学习参考&#xff0c;实际电路设计请直接略过&#xff01;&#xff01;&#xff01; 文章目录 N沟道与P沟道MOSFET基本原理与区别前言一、MOSFET &#xff1f;二、N沟道MOS管原理三、P沟…
阅读更多...
老卫带你学---leetcode刷题(130. 被围绕的区域)

老卫带你学---leetcode刷题(130. 被围绕的区域)

130. 被围绕的区域 问题 给你一个 m x n 的矩阵 board &#xff0c;由若干字符 ‘X’ 和 ‘O’ &#xff0c;找到所有被 ‘X’ 围绕的区域&#xff0c;并将这些区域里所有的 ‘O’ 用 ‘X’ 填充。 示例 1&#xff1a; 输入&#xff1a;board [[“X”,“X”,“X”,“X”]…
阅读更多...
mitmproxy安装与配置

mitmproxy安装与配置

文章目录 一、mitmproxy的安装二、运行mitmproxy1、配置客户端代理方式一&#xff0c;设置全局代理方式二&#xff0c;设置浏览器代理 2、客户端安装mitmproxy提供的CA证书手工安装步骤&#xff1a;自动安装步骤&#xff1a; mitmproxy是一个免费的开源交互式的HTTPS代理工具。…
阅读更多...
放着奥威-用友BI方案不用？糊涂！

放着奥威-用友BI方案不用？糊涂！

放着奥威-用友BI方案不用&#xff0c;自己在那死磕数据可视化报表开发、数据分析报表开发&#xff0c;白白投了大量的人力物力进去&#xff0c;还得不到好效果&#xff0c;比百忙一场还要亏。 奥威-用友BI方案究竟有多优秀&#xff1f; 1、分析快&#xff0c;报表制作快 半个…
阅读更多...
嵌入式驱动学习第一周——git的使用

嵌入式驱动学习第一周——git的使用

前言 本文主要介绍git的使用&#xff0c;包括介绍git&#xff0c;gitee&#xff0c;以及使用gitee创建仓库并托管代码 嵌入式驱动学习专栏将详细记录博主学习驱动的详细过程&#xff0c;未来预计四个月将高强度更新本专栏&#xff0c;喜欢的可以关注本博主并订阅本专栏&#xf…
阅读更多...
1.1 编程环境的安装

1.1 编程环境的安装

汇编语言 汇编语言环境部署 第二个运行程序直接双击安装一直下一步即可MASM文件复制到D盘路径下找到dosbox安装路径&#xff1a;C:\Program Files (x86)\DOSBox-0.74找到该文件双击打开它&#xff0c;修改一下窗口大小 把这两行改成如下所示 运行dos&#xff0c;黑框中输入mou…
阅读更多...
Dockerfile（4） - RUN 指令详解

Dockerfile（4） - RUN 指令详解

RUN 运行命令 shell 形式 命令在 shell 中运行Linux 上默认为 /bin/sh -cWindows 上 cmd /S /C RUN <command> exec 形式 RUN ["executable", "param1", "param2"] 必须双引号&#xff0c;不能是单引号 两种写法的实际栗子 RUN …
阅读更多...
MYSQL02高级_目录结构、默认数据库、表文件、系统独立表空间

MYSQL02高级_目录结构、默认数据库、表文件、系统独立表空间

文章目录 ①. MySQL目录结构②. 查看默认数据库③. MYSQL5.7和8表文件③. 系统、独立表空间 ①. MySQL目录结构 ①. 如何查看关联mysql目录 [rootmysql8 ~]# find / -name mysql /var/lib/mysql /var/lib/mysql/mysql /etc/selinux/targeted/tmp/modules/100/mysql /etc/seli…
阅读更多...
客服办公神器·带你实现快捷回复自由

客服办公神器·带你实现快捷回复自由

节后很多做客服的小伙伴都来找我说回复挺力不从心的&#xff0c;让我支点招。因为每个小伙伴遇到的顾客问题和回复情况都各不相同&#xff0c;我还是建议大家下载一个利于提高自己办公效率的软件&#xff0c;像我一直在用的这个“客服宝快捷回复软件”真是客服打工人之光&#…
阅读更多...
ROS2----运行helloworld、集成开发环境的搭建

ROS2----运行helloworld、集成开发环境的搭建

前言&#xff1a;ROS2已经出来了&#xff0c;ROS1会被逐渐淘汰&#xff0c;大家尽量不要学ROS1了&#xff01;&#xff01; 文章目录 一、运行helloworld1.创建工作空间2.创建功能包3.源文件和配置文件4.编译与运行5.源码编写下的编译与运行6.运行优化 二、集成开发环境的搭建…
阅读更多...
企业有了ERP，为什么还要上BI?

企业有了ERP，为什么还要上BI?

在我们以往和企业的沟通过程中&#xff0c;我们发现还是有相当多的一部分企业对于商业智能 BI 了解不多&#xff0c;或者对商业智能 BI 的理解仅停留在花花绿绿的可视化页面上&#xff0c;要么就是提出以下类似问题&#xff1a; 财务部门&#xff1a;BI 的财务分析指标也就是三…
阅读更多...
谢霆锋王菲甜蜜合体，对视瞬间燃爆全网。

谢霆锋王菲甜蜜合体，对视瞬间燃爆全网。

♥ 为方便您进行讨论和分享&#xff0c;同时也为能带给您不一样的参与感。请您在阅读本文之前&#xff0c;点击一下“关注”&#xff0c;非常感谢您的支持&#xff01; 文 |猴哥聊娱乐 编 辑|徐 婷 校 对|侯欢庭 天后王菲与谢霆锋恋情备受瞩目&#xff0c;虽未婚却甜蜜如初。…
阅读更多...
【力扣hot100】刷题笔记Day15

【力扣hot100】刷题笔记Day15

前言 今天要刷的是图论&#xff0c;还没学过&#xff0c;先看看《代码随想录》这部分的基础 深搜DFS理论基础 深搜三部曲 确认递归函数、参数确认终止条件处理目前搜索节点出发的路径 代码框架 void dfs(参数) {if (终止条件) {存放结果;return;}for (选择&#xff1a;本节点…
阅读更多...
17.题目：编号3766 无尽的石头

17.题目：编号3766 无尽的石头

题目&#xff1a; ###本题主要考察模拟 #include<bits/stdc.h> using namespace std; int sum(int x){int result0;while(x){resultx%10;x/10;}return result; } int main(){int t;cin>>t;while(t--){int n;cin>>n;int buf1;int ans0;for(int i1;i<100…
阅读更多...
[python] 利用已有字典创建新字典——dict.fromkeys()

[python] 利用已有字典创建新字典——dict.fromkeys()

有的时候&#xff0c;我们需要使用已有字典的key去创建新的字典&#xff0c;但是key对应的value不一样&#xff0c;比如说&#xff1a; old_dict {a:1, b:2, c:3} new_dict {a:1/3, b:1/3, c:1/3} old_dict和new_dict的key一样&#xff0c;但是value不一样。除了枚举创造的…
阅读更多...
高级语言期末2011级B卷（计算机学院）

高级语言期末2011级B卷（计算机学院）

1.编写函数&#xff0c;实现按照如下公式计算的功能&#xff0c;其中n为自然数 #include <stdio.h>int fac(int n) {if(n0)return 1;elsereturn n*fac(n-1); }float fun(int n) {float flag;float sum0;for(int i0; i<n; i) {flagi/((i1)*fac(i2));sumflag;}return su…
阅读更多...
最新文章

Copyright @ 2022~2023

友情链接： 我的编程经验分享 一条长河网 尧图网站开发 尧图建网站