作者：騰訊IMWeb團(tuán)隊(duì)

https://juejin.im/post/6873700061000237069

使用NodeJS實(shí)現(xiàn)JWT原理

jwt是json web token的簡稱，本文介紹它的原理，最后后端用nodejs自己實(shí)現(xiàn)如何為客戶端生成令牌token和校驗(yàn)token

1.為什么需要會(huì)話管理

我們用nodejs為前端或者其他服務(wù)提供resful接口時(shí)，http協(xié)議他是一個(gè)無狀態(tài)的協(xié)議，有時(shí)候我們需要根據(jù)這個(gè)請(qǐng)求的上下獲取具體的用戶是否有權(quán)限，針對(duì)用戶的上下文進(jìn)行操作。所以出現(xiàn)了cookies session還有jwt這幾種技術(shù)的出現(xiàn)，都是對(duì)HTTP協(xié)議的一個(gè)補(bǔ)充。使得我們可以用HTTP協(xié)議+狀態(tài)管理構(gòu)建一個(gè)的面向用戶的WEB應(yīng)用。

2.session和cookies

session和cookies是有聯(lián)系的，session就是服務(wù)端在客戶端cookies種下的session_id, 服務(wù)端保存session_id所對(duì)應(yīng)的當(dāng)前用戶所有的狀態(tài)信息。每次客戶端請(qǐng)求服務(wù)端都帶上cookies中的session_id, 服務(wù)端判斷是否有具體的用戶信息，如果沒有就去調(diào)整登錄。

cookies安全性不好，攻擊者可以通過獲取本地cookies進(jìn)行欺騙或者利用cookies進(jìn)行CSRF攻擊。
cookies在多個(gè)域名下，會(huì)存在跨域問題
session的信息是保存在服務(wù)端上面的，當(dāng)我們node.js在stke部署多臺(tái)機(jī)器的時(shí)候，需要解決共享session，所以引出來session持久化問題，所以session不支持分布式架構(gòu)，無法支持橫向擴(kuò)展，只能通過數(shù)據(jù)庫來保存會(huì)話數(shù)據(jù)實(shí)現(xiàn)共享。如果持久層失敗會(huì)出現(xiàn)認(rèn)證失敗。

3.jwt的定義

jwt是json web token的全稱，他解決了session以上的問題，優(yōu)點(diǎn)是服務(wù)器不保存任何會(huì)話數(shù)據(jù)，即服務(wù)器變?yōu)闊o狀態(tài)，使其更容易擴(kuò)展，什么情況下使用jwt比較合適，我覺得就是授權(quán)這個(gè)場(chǎng)景，因?yàn)閖wt使用起來輕便，開銷小，后端無狀態(tài)，所以使用比較廣泛。

4.jwt的原理

JWT 的原理是，服務(wù)器認(rèn)證以后，生成一個(gè) JSON 對(duì)象，發(fā)回給用戶，就像下面這樣。

{
??"姓名":?"張三",
??"角色":?"管理員",
??"到期時(shí)間":?"2018年7月1日0點(diǎn)0分"
}

以后，用戶與服務(wù)端通信的時(shí)候，都要發(fā)回這個(gè) JSON 對(duì)象。服務(wù)器完全只靠這個(gè)對(duì)象認(rèn)定用戶身份。為了防止用戶篡改數(shù)據(jù)，服務(wù)器在生成這個(gè)對(duì)象的時(shí)候，會(huì)加上簽名。

5.jwt的認(rèn)證流程

流程說明：

瀏覽器發(fā)起請(qǐng)求登陸，攜帶用戶名和密碼；
服務(wù)端根據(jù)用戶名和明碼到數(shù)據(jù)庫驗(yàn)證身份，根據(jù)算法，將用戶標(biāo)識(shí)符打包生成 token,
服務(wù)器返回JWT信息給瀏覽器，JWT不應(yīng)該包含敏感信息，這是很重要的一點(diǎn)
瀏覽器發(fā)起請(qǐng)求獲取用戶資料，把剛剛拿到的 token一起發(fā)送給服務(wù)器，一般放在header里面，字段為authorization
服務(wù)器發(fā)現(xiàn)數(shù)據(jù)中有 token，decode token的信息，然后再次簽名，驗(yàn)明正身；
服務(wù)器返回該用戶的用戶資料；
服務(wù)器可以在payload設(shè)置過期時(shí)間，如果過期了，可以讓客戶端重新發(fā)起驗(yàn)證。

6.jwt的數(shù)據(jù)結(jié)構(gòu)

jwt包含了使用.風(fēng)格的三個(gè)部分

Header頭部

{?"alg":?"HS256",?"typ":?"JWT"}???
//?algorithm?=>?HMAC?SHA256
//?type?=>?JWT

這是固定的寫法，alg表面要用的是HS256算法

Payload 負(fù)載、載荷，JWT 規(guī)定了7個(gè)官方字段

iss (issuer)：簽發(fā)人
exp (expiration time)：過期時(shí)間
sub (subject)：主題
aud (audience)：受眾
nbf (Not Before)：生效時(shí)間
iat (Issued At)：簽發(fā)時(shí)間
jti (JWT ID)：編號(hào)

除了這七個(gè)，可以自定義，比如過期時(shí)間

Signature 簽名

對(duì)前兩部分header和payload進(jìn)行簽名，防止數(shù)據(jù)篡改

HMACSHA256(
??base64UrlEncode(header)?+?"."?+
??base64UrlEncode(payload),
??secret)

secret是一段字符串，后端保存，需要注意的是JWT 作為一個(gè)令牌（token），有些場(chǎng)合可能會(huì)放到 URL（比如 api.example.com/?token=xxx）。Base64 有三個(gè)字符+、/和=，在 URL 里面有特殊含義，所以要被替換掉：=被省略、+替換成-，/替換成_ 。這就是 Base64URL 算法。

7.jwt使用方式

HTTP 請(qǐng)求的頭信息Authorization字段里面, Bearer也是規(guī)定好的

Authorization:?Bearer?

通過url傳輸（不推薦）

http://www.xxx.com/pwa?token=xxxxx

如果是post請(qǐng)求也可以放在請(qǐng)求體中

8.在koa項(xiàng)目中使用

可以使用現(xiàn)成庫，jwt-simple ?或者 jsonwebtoken

let?Koa?=?require('koa');
let?Router?=?require('koa-router');
let?bodyparser?=?require('koa-bodyparser');
let?jwt?=?require('jwt-simple');
let?router?=?new?Router()
let?app?=?new?Koa();
app.use(bodyparser());
//?可以自己自定義
let?secret?=?'zhenglei';
//?驗(yàn)證是否登陸
router.post('/login',async(ctx)=>{?
????let?{username,password}?=?ctx.request.body;
????if(username?===?'admin'?&&?password?===?'admin'){
???????//?通常會(huì)查數(shù)據(jù)庫，這里簡單的演示
???????let?token?=??jwt.encode(username,?secret);
???????ctx.body?=?{
????????????code:200,
????????????username,
????????????token,
???????}
????}
});
//?驗(yàn)證是否有權(quán)限
router.get('/validate',async(ctx)=>{?
????let?Authorization?=?ctx.get('authorization')
????let?[,token]?=?Authorization.split('?');
????if(token){
????????try{
????????????let?r?=?jwt.decode(token,secret);
????????????ctx.body?=?{
????????????????code:200,
????????????????username:r,
????????????????token
????????????}
????????}catch(e){
????????????ctx.body?=?{
????????????????code:401,
????????????????data:'沒有登陸'
????????????}
????????}
????}else{
????????ctx.body?=?{
????????????code:401,
????????????data:'沒有登陸'
????????}
????}
??
});
app.use(router.routes());
app.listen(4000);

實(shí)現(xiàn)兩個(gè)接口一個(gè)是/login 驗(yàn)證是否登錄，一個(gè)是 validate,驗(yàn)證是否有權(quán)限
請(qǐng)求login接口的時(shí)候，客戶端帶username和password, 后端一般會(huì)查數(shù)據(jù)庫，驗(yàn)證是否存在當(dāng)前用戶，如果存在則為username進(jìn)行簽名，千萬不要給password這些敏感信息也帶進(jìn)來簽名
客戶端接收后端給的token令牌，再請(qǐng)求其他接口，比如這個(gè)例子的/validate的時(shí)候，ajax請(qǐng)求的時(shí)候，可以在header指定authorization字段，后端拿到token進(jìn)行decode，然后將header和payload進(jìn)行再一次的簽名，如果前后的簽名一致，說明沒有被篡改過，則權(quán)限驗(yàn)證通過。因?yàn)槭峭降倪^程，所以可以用try catch來捕捉錯(cuò)誤

9.原理的實(shí)現(xiàn)

sha256哈希算法，可以用nodejs的內(nèi)置加密模塊crypto, 生成base64字符串，要注意的是生成base64需要為+ - = 做一下替換，=被省略、+替換成-，/替換成_ 。這就是 Base64URL 算法。
token令牌的組成是header, payload和sigin的通過.來組成
base64urlUnescape的解碼是固定寫法，decode出base64的內(nèi)容

let?myJwt?=?{
????sign(content,secret){
????????let?r?=?crypto.createHmac('sha256',secret).update(content).digest('base64');
????????return?this.base64urlEscape(r)
????},
????base64urlEscape(str){
????????return?str.replace(/\+/g,?'-').replace(/\//g,?'_').replace(/=/g,?'');
????},
????toBase64(content){
????????return?this.base64urlEscape(Buffer.from(JSON.stringify(content)).toString('base64'))
????},
????encode(username,secret){
????????let?header?=?this.toBase64({?typ:?'JWT',?alg:?'HS256'?});
????????let?content?=?this.toBase64(username);
????????let?sign?=?this.sign([header,content].join('.'),secret);
????????return??[header,content,sign].join('.')
????},
????base64urlUnescape(str)?{
????????str?+=?new?Array(5?-?str.length?%?4).join('=');
????????return?str.replace(/\-/g,?'+').replace(/_/g,?'/');
????},
????decode(token,secret){
????????let?[header,content,sign]?=?token.split('.');
????????let?newSign?=?this.sign([header,content].join('.'),secret);
????????if(sign?===?newSign){
????????????return?Buffer.from(this.base64urlUnescape(content),'base64').toString();
????????}else{
????????????throw?new?Error('被篡改')
????????}
????}
}

10.jwt的優(yōu)缺點(diǎn)

JWT默認(rèn)不加密，但可以加密。生成原始令牌后，可以使用改令牌再次對(duì)其進(jìn)行加密。
當(dāng)JWT未加密方法是，一些私密數(shù)據(jù)無法通過JWT傳輸。
JWT不僅可用于認(rèn)證，還可用于信息交換。善用JWT有助于減少服務(wù)器請(qǐng)求數(shù)據(jù)庫的次數(shù)。
JWT的最大缺點(diǎn)是服務(wù)器不保存會(huì)話狀態(tài)，所以在使用期間不可能取消令牌或更改令牌的權(quán)限。也就是說，一旦JWT簽發(fā)，在有效期內(nèi)將會(huì)一直有效。
JWT本身包含認(rèn)證信息，因此一旦信息泄露，任何人都可以獲得令牌的所有權(quán)限。為了減少盜用，JWT的有效期不宜設(shè)置太長。對(duì)于某些重要操作，用戶在使用時(shí)應(yīng)該每次都進(jìn)行進(jìn)行身份驗(yàn)證。
為了減少盜用和竊取，JWT不建議使用HTTP協(xié)議來傳輸代碼，而是使用加密的HTTPS協(xié)議進(jìn)行傳輸。