【面试题】传统Token与JWT区别及优缺点？JWT如何实现登入功能？

iss: jwt签发者

sub: jwt所面向的用户

aud: 接收jwt的一方

exp: jwt的过期时间，这个过期时间必须要大于签发时间

nbf: 定义在什么时间之前，该jwt都是不可用的.

iat: jwt的签发时间

jti: jwt的唯一身份标识，主要用来作为一次性token,从而回避重放攻击。

Signature(签名）

这段是签证信息，非常非常关键的部分。

这关乎你的这个 Token 是否安全，是否能被人仿造。

一般是对 header (base64后的) 和 payload (base64后的) 这两部分的数据通过 secret（私钥）进行签名后的结果。

所以这个签名算法就非常关键了，常用的有 SHA256 和 HMAC，我个人更推荐使用 RSA。

JWT优缺点

优点

无需服务器端存放数据，减轻服务器端的压力
占用带宽比较小、跨语言
token自身包含用户信息且无法篡改，在服务（网关）中可以自行解析校验出用户信息，对认证服务器（account-svc）压力小

缺点

建议不要放敏感数据 userid、手机号码（如果非要放userId，deptId等信息，可采用rsa256算法加密）RSA256生成JWT
JWT生成之后无法修改（发生变化）
后端无法统计，生成JWT
无法吊销令牌，只能等待令牌自身过期
令牌长度与其包含用户信息多少正相关，传输开销较大

JWT模拟登入

JWTLoginController

@RestController
public class JWTLoginController {

    @Resource
    private JWTLoginIService jwtLoginIService;

    /**
     * jwt登录的方式
     *
     * @return
     */
    @PostMapping("loginJwt")
    public Result loginJwt(@RequestBody UserLoginDto userLoginDto) {
        return jwtLoginIService.loginJwt(userLoginDto);
    }

    /**
     * jwt 验证
     *
     * @return
     */
    @GetMapping("jwtVerification")
    public Result jwtVerification(@RequestParam("jwt") String jwt) {
        return jwtLoginIService.jwtVerification(jwt);
    }
}

UserLoginDto

@Data
public class UserLoginDto {
    private String mobile;
    private String passWord;
}

UserInfo

@Data
public class UserInfo {
    private String userId;
    private Integer age;
    private String mobile;
    private String passWord;
}

JWTLoginIService

public interface JWTLoginIService {
    Result loginJwt(UserLoginDto userLoginDto);

    Result jwtVerification(String jwt);
}

JWTLoginIServiceImpl

@Service
public class JWTLoginIServiceImpl implements JWTLoginIService {
    @Override
    public Result loginJwt(UserLoginDto userLoginDto) {

        String mobile = userLoginDto.getMobile();
        if (StringUtils.isEmpty(userLoginDto.getMobile())) {
            return Result.fail("mobile 不能为空!");
        }
        String passWord = userLoginDto.getPassWord();
        if (StringUtils.isEmpty(userLoginDto.getPassWord())) {
            return Result.fail("passWord 不能为空!");
        }

        String newPassWord = MD5Util.getMD5String(passWord);

        // 为了方便这里就不查数据库了，我们来模拟一下这个动作
        // 反正查数据库后，也是向userLoginDto里面塞值！
        UserInfo userInfo = new UserInfo();
        userInfo.setUserId("1");
        userInfo.setAge(18);
        userInfo.setMobile(mobile);
        userInfo.setPassWord(newPassWord);

        if (userInfo == null) {
            return Result.fail("手机号码或者密码错误");
        }

        String jwt = JWTUtil.generateJsonWebToken(userInfo);
        JSONObject data = new JSONObject();
        data.set("jwt", jwt);
        return Result.ok(data);
    }

    @Override
    public Result jwtVerification(String jwt) {
        if (StringUtils.isEmpty(jwt)) {
            return Result.fail("jwt is null");
        }
        Claims claims = JWTUtil.checkJWT(jwt);
        if(claims==null){
            return Result.fail("jwt error");
        }
        return Result.ok("登入成功！");
    }
}

JWTUtil

public class JWTUtil {

    private static final String SUBJECT = "Harmony";

    private static final long EXPIRITION = 1000 * 24 * 60 * 7;

    private static final String APPSECRET_KEY = "Harmony_secret";

    public static String generateJsonWebToken(UserInfo userInfo) {
        String token = Jwts.builder()
                .setSubject(SUBJECT)
                .claim("userId", userInfo.getUserId())
                .claim("age", userInfo.getAge())
                .claim("mobile", DesensitizedUtil.mobilePhone(userInfo.getMobile()))
                .setExpiration(new Date(System.currentTimeMillis() + EXPIRITION))
                .signWith(SignatureAlgorithm.HS256, APPSECRET_KEY).compact();

        return token;
    }

    public static Claims checkJWT(String token) {
        try {
            final Claims claims = Jwts.parser().setSigningKey(APPSECRET_KEY).parseClaimsJws(token).getBody();
            return claims;
        } catch (Exception e) {
            e.printStackTrace();
            return null;
        }
    }
}

我们模拟JWT方式登入，生成一个JWT（Token），如果是Web开发，我们会把这个值交给Cookie或者loaclStorage，之后浏览器向服务器“发消息”都会携带这个值！

我们可以拿着这个JWT，这个验证逻辑里面发一次请求（在Web开发中，这一块逻辑一般是放在拦截器中！），模拟浏览器携带者“用户ID”，所以这里服务器给出的响应自然是通过的！

posted @ 2022-11-20 23:53 金鳞踏雨阅读(223) 评论(0) 编辑收藏举报来源

刷新页面返回顶部

金鳞踏雨

【面试题】传统Token与JWT区别及优缺点？JWT如何实现登入功能？

传统的Token

传统的Token实现登入的流程

传统的Token的优、缺点

优点

缺点

JWT

什么是JWT？

JWT解密平台

JWT组成的部分

Header(头）

Payload(有效载荷）

Signature(签名）

JWT优缺点

优点

缺点

JWT模拟登入

公告