如何設(shè)計(jì)安全的API？
不點(diǎn)藍(lán)字，我們哪來故事？
每天 11 點(diǎn)更新文章，餓了點(diǎn)外賣，點(diǎn)擊 ??《無門檻外賣優(yōu)惠券，每天免費(fèi)領(lǐng)！》
轉(zhuǎn)自：樂傻驢
鏈接：www.jianshu.com/p/1f2d6e5126cb
本文會詳細(xì)描述兩種通用的保證API安全性的方法：OAuth2和JSON Web Token (JWT)
你已經(jīng)或者正在實(shí)現(xiàn)API； 你正在考慮選擇一個(gè)合適的方法保證API的安全性；
JWT和OAuth2比較？
JWT是一種認(rèn)證協(xié)議
JWT提供了一種用于發(fā)布接入令牌（Access Token),并對發(fā)布的簽名接入令牌進(jìn)行驗(yàn)證的方法。令牌（Token）本身包含了一系列聲明，應(yīng)用程序可以根據(jù)這些聲明限制用戶對資源的訪問。OAuth2是一種授權(quán)框架
另一方面，OAuth2是一種授權(quán)框架，提供了一套詳細(xì)的授權(quán)機(jī)制（指導(dǎo)）。用戶或應(yīng)用可以通過公開的或私有的設(shè)置，授權(quán)第三方應(yīng)用訪問特定資源。既然JWT和OAuth2沒有可比性，為什么還要把這兩個(gè)放在一起說呢？實(shí)際中確實(shí)會有很多人拿JWT和OAuth2作比較。標(biāo)題里把這兩個(gè)放在一起，確實(shí)有誤導(dǎo)的意思。很多情況下，在討論OAuth2的實(shí)現(xiàn)時(shí)，會把JSON Web Token作為一種認(rèn)證機(jī)制使用。這也是為什么他們會經(jīng)常一起出現(xiàn)。
JSON Web Token (JWT)
JSON Web Token (JWT) is a compact URL-safe means of representing claims to be transferred between two parties. The claims in a JWT are encoded as a JSON object that is digitally signed using JSON Web Signature (JWS).
-RFC7519 https://tools.ietf.org/html/rfc7519
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ一個(gè)token包含三部分： header.claims.signature了安全的在url中使用，所有部分都 base64 URL-safe進(jìn)行編碼處理。
頭部分簡單聲明了類型(JWT)以及產(chǎn)生簽名所使用的算法。
{"alg" : "AES256","typ" : "JWT"}
一個(gè)簡單的聲明（claim）的例子：
{"sub": "1234567890","name": "John Doe","admin": true}
這里有一個(gè)重要的實(shí)現(xiàn)細(xì)節(jié)。只有獲取了私鑰的應(yīng)用程序（比如服務(wù)器端應(yīng)用）才能完全認(rèn)證token包含聲明信息的合法性。所以，永遠(yuǎn)不要把私鑰信息放在客戶端（比如瀏覽器）。
OAuth2是什么？
The OAuth 2.0 authorization framework enables a third-party application to obtain limited access to an HTTP service, either on behalf of a resource owner by orchestrating an approval interaction between the resource owner and the HTTP service, or by allowing the third-party application to obtain access on its own behalf.
-RFC6749 https://tools.ietf.org/html/rfc6749
應(yīng)用程序或者用戶都可以是下邊的任何一種角色：
資源擁有者
資源服務(wù)器
客戶端應(yīng)用
認(rèn)證服務(wù)器
這里的客戶端主要指API的使用者。它可以是的類型：
私有的
公開的
OAuth2框架也指定了集中客戶端描述，用來表示應(yīng)用程序的類型：
Web應(yīng)用
用戶代理
原聲應(yīng)用
認(rèn)證授權(quán)代表資源擁有者授權(quán)給客戶端應(yīng)用程序的一組權(quán)限，可以是下邊幾種形式：
授權(quán)碼
隱式授權(quán)
資源擁有者密碼證書
客戶端證書
Endpoints終端
認(rèn)證終端
Token終端
重定向終端
使用HTTPS保護(hù)用戶密碼
安全地傳輸用戶提供的私密信息，在任何一個(gè)安全的系統(tǒng)里都是必要的。否則任何人都可以通過侵入私人wifi，在用戶登錄的時(shí)候竊取用戶的用戶名和密碼等信息。
在做選擇之前，參考一下下邊提到的幾點(diǎn)。
OAuth2是一個(gè)安全框架，描述了在各種不同場景下，多個(gè)應(yīng)用之間的授權(quán)問題。有海量的資料需要學(xué)習(xí)，要完全理解需要花費(fèi)大量時(shí)間。甚至對于一些有經(jīng)驗(yàn)的開發(fā)工程師來說，也會需要大概一個(gè)月的時(shí)間來深入理解OAuth2。這是個(gè)很大的時(shí)間投入。
相反，JWT是一個(gè)相對輕量級的概念。可能花一天時(shí)間深入學(xué)習(xí)一下標(biāo)準(zhǔn)規(guī)范，就可以很容易地開始具體實(shí)施。
OAuth2不像JWT一樣是一個(gè)嚴(yán)格的標(biāo)準(zhǔn)協(xié)議，因此在實(shí)施過程中更容易出錯(cuò)。盡管有很多現(xiàn)有的庫，但是每個(gè)庫的成熟度也不盡相同，同樣很容易引入各種錯(cuò)誤。在常用的庫中也很容易發(fā)現(xiàn)一些安全漏洞。
當(dāng)然，如果有相當(dāng)成熟、強(qiáng)大的開發(fā)團(tuán)隊(duì)來持續(xù)OAuth2實(shí)施和維護(hù)，可以一定成都上避免這些風(fēng)險(xiǎn)。
在很多情況下,使用用戶在大型社交網(wǎng)站的已有賬戶來認(rèn)證會方便。
如果期望你的用戶可以直接使用Facebook或者Gmail之類的賬戶,使用現(xiàn)有的庫會方便得多。
結(jié)論
JWT使用場景
無狀態(tài)的分布式API
但是，如果系統(tǒng)中需要使用黑名單實(shí)現(xiàn)長期有效的token刷新機(jī)制，這種無狀態(tài)的優(yōu)勢就不明顯了。
快速開發(fā)
不需要cookie
JSON在移動端的廣泛應(yīng)用
不依賴于社交登錄
相對簡單的概念理解
Token有長度限制
Token不能撤銷
需要token有失效時(shí)間限制(exp)
OAuth2使用場景
在作者看來兩種比較有必要使用OAuth2的場景：
外包認(rèn)證服務(wù)器
也就是常見的，去認(rèn)證服務(wù)商（比如facebook）那里注冊你的應(yīng)用，然后設(shè)置需要訪問的用戶信息，比如電子郵箱、姓名等。當(dāng)用戶訪問站點(diǎn)的注冊頁面時(shí)，會看到連接到第三方提供商的入口。用戶點(diǎn)擊以后被重定向到對應(yīng)的認(rèn)證服務(wù)商網(wǎng)站，獲得用戶的授權(quán)后就可以訪問到需要的信息，然后重定向回來。
快速開發(fā)
實(shí)施代碼量小
維護(hù)工作減少
大型企業(yè)解決方案
考慮到工作量，可能需要單獨(dú)的團(tuán)隊(duì)，針對各種應(yīng)用開發(fā)完善、靈活的安全策略。當(dāng)然需要的工作量也比較大！這一點(diǎn)，OAuth2的作者也指出過：
To be clear, OAuth 2.0 at the hand of a developer with deep understanding of web security will likely result is a secure implementation. However, at the hands of most developers – as has been the experience from the past two years – 2.0 is likely to produce insecure implementations.
hueniverse - OAuth 2.0 and the Road to Hell
靈活的實(shí)現(xiàn)方式
可以和JWT同時(shí)使用
可針對不同應(yīng)用擴(kuò)展
進(jìn)一步
http://jwt.io - JWT官方網(wǎng)站，也可以查看到使用不同語言實(shí)現(xiàn)的庫的狀態(tài)。
http://oauth.net/2/ OAuth2官方網(wǎng)站, 也也可以查看到使用不同語言實(shí)現(xiàn)的庫的狀態(tài)。
OAuth 2 tutorials - Useful overview of how OAuth 2 works
Oauth2 Spec issues Eran Hammer’s (推進(jìn)OAuth標(biāo)準(zhǔn)的作者) views on what went wrong with the OAuth 2 spec process. Whatever your own opinion, good to get some framing by someone who understand’s key aspects of what make a security standard successful.
Thoery and implemnetation: with Laravel and Angular Really informative guide to JWT in theory and in practice for Laravel and Angular.
往期推薦
下方二維碼關(guān)注我
技術(shù)草根，堅(jiān)持分享 編程，算法，架構(gòu)
看完文章，餓了點(diǎn)外賣，點(diǎn)擊 ??《無門檻外賣優(yōu)惠券，每天免費(fèi)領(lǐng)！》
評論
圖片
表情