前后端分离之JWT用户认证

 在前后端分离开发时为什么需要用户认证呢？原因是由于http协定是不储存状态的(stateless)，这意味着当我们透过帐号密码验证一个使用者时，当下一个request请求时它就把刚刚的资料忘了。于是我们的程序就不知道谁是谁，就要再验证一次。所以为了保证系统安全，我们就需要验证用户否处于登录状态。

 

传统方式

        前后端分离通过restful api进行数据交互时，如何验证用户的登录信息及权限。在原来的项目中，使用的是最传统也是最简单的方式，前端登录，后端根据用户信息生成一个token，并保存这个 token 和对应的用户id到数据库或session中，接着把 token 传给用户，存入浏览器 cookie，之后浏览器请求带上这个cookie，后端根据这个cookie值来查询用户，验证是否过期。

但这样做问题就很多，如果我们的页面出现了 xss 漏洞，由于 cookie 可以被 javascript 读取，xss 漏洞会导致用户 token 泄露，而作为后端识别用户的标识，cookie 的泄露意味着用户信息不再安全。尽管我们通过转义输出内容，使用 cdn 等可以尽量避免 xss 注入，但谁也不能保证在大型的项目中不会出现这个问题。

在设置 cookie 的时候，其实你还可以设置 httponly 以及 secure 项。设置 httponly 后 cookie 将不能被 js 读取，浏览器会自动的把它加在请求的 header 当中，设置 secure 的话，cookie 就只允许通过 https 传输。secure 选项可以过滤掉一些使用 http 协议的 xss 注入，但并不能完全阻止。

httponly 选项使得 js 不能读取到 cookie，那么 xss 注入的问题也基本不用担心了。但设置 httponly 就带来了另一个问题，就是很容易的被 xsrf，即跨站请求伪造。当你浏览器开着这个页面的时候，另一个页面可以很容易的跨站请求这个页面的内容。因为 cookie 默认被发了出去。

另外，如果将验证信息保存在数据库中，后端每次都需要根据token查出用户id，这就增加了数据库的查询和存储开销。若把验证信息保存在session中，有加大了服务器端的存储压力。那我们可不可以不要服务器去查询呢？如果我们生成token遵循一定的规律，比如我们使用对称加密算法来加密用户id形成token，那么服务端以后其实只要解密该token就可以知道用户的id是什么了。不过呢，我只是举个例子而已，要是真这么做，只要你的对称加密算法泄露了，其他人可以通过这种加密方式进行伪造token，那么所有用户信息都不再安全了。恩，那用非对称加密算法来做呢，其实现在有个规范就是这样做的，就是我们接下来要介绍的 jwt。

json web token（jwt）

        jwt 是一个开放标准(rfc 7519)，它定义了一种用于简洁，自包含的用于通信双方之间以 json 对象的形式安全传递信息的方法。jwt 可以使用 hmac 算法或者是 rsa 的公钥密钥对进行签名。它具备两个特点：

• 简洁(compact)

  可以通过url, post 参数或者在 http header 发送，因为数据量小，传输速度快

• 自包含(self-contained)

  负载中包含了所有用户所需要的信息，避免了多次查询数据库

jwt 组成

• header 头部

头部包含了两部分，token 类型和采用的加密算法

{  "alg": "hs256",  "typ": "jwt"}

它会使用 base64 编码组成 jwt 结构的第一部分,如果你使用node.js，可以用node.js的包base64url来得到这个字符串。

base64是一种编码，也就是说，它是可以被翻译回原来的样子来的。它并不是一种加密过程。

百度百科

• payload 负载

这部分就是我们存放信息的地方了，你可以把用户 id 等信息放在这里，jwt 规范里面对这部分有进行了比较详细的介绍，常用的由 iss（签发者），exp（过期时间），sub（面向的用户），aud（接收方），iat（签发时间）。

{    "iss": "lion1ou jwt",    "iat": 1441593502,    "exp": 1441594722,    "aud": "www.example.com",    "sub": "[e-mail]"}

同样的，它会使用 base64 编码组成 jwt 结构的第二部分

• signature 签名

前面两部分都是使用 base64 进行编码的，即前端可以解开知道里面的信息。signature 需要使用编码后的 header 和 payload 以及我们提供的一个密钥，然后使用 header 中指定的签名算法（hs256）进行签名。签名的作用是保证 jwt 没有被篡改过。

三个部分通过.连接在一起就是我们的 jwt 了，它可能长这个样子，长度貌似和你的加密算法和私钥有关系。

eyjhbgcioijiuzi1niisinr5cci6ikpxvcj9.eyjpzci6iju3zmvmmty0ztu0ywy2ngzmyzuzzgjknsisinhzcmyioii0zwe1yzuwoge2nty2ztc2mjqwntqzzjhmzwiwnmzkndu3nzc3ymuzotu0owm0mde2ndm2ywzkyty1zdizmzbliiwiawf0ijoxndc2ndi3otmzfq.pa3qjeyzsuh7h0gfe0vjakw4ljkjuc3dvlqiy4hii8s

其实到这一步可能就有人会想了，http 请求总会带上 token，这样这个 token 传来传去占用不必要的带宽啊。如果你这么想了，那你可以去了解下 http2，http2 对头部进行了压缩，相信也解决了这个问题。

• 签名的目的

最后一步签名的过程，实际上是对头部以及负载内容进行签名，防止内容被窜改。如果有人对头部以及负载的内容解码之后进行修改，再进行编码，最后加上之前的签名组合形成新的jwt的话，那么服务器端会判断出新的头部和负载形成的签名和jwt附带上的签名是不一样的。如果要对新的头部和负载进行签名，在不知道服务器加密时用的密钥的话，得出来的签名也是不一样的。

• 信息暴露

在这里大家一定会问一个问题：base64是一种编码，是可逆的，那么我的信息不就被暴露了吗？

是的。所以，在jwt中，不应该在负载里面加入任何敏感的数据。在上面的例子中，我们传输的是用户的user id。这个值实际上不是什么敏感内容，一般情况下被知道也是安全的。但是像密码这样的内容就不能被放在jwt中了。如果将用户的密码放在了jwt中，那么怀有恶意的第三方通过base64解码就能很快地知道你的密码了。

因此jwt适合用于向web应用传递一些非敏感信息。jwt还经常用于设计用户认证和授权系统，甚至实现web应用的单点登录。

jwt 使用

1. 首先，前端通过web表单将自己的用户名和密码发送到后端的接口。这一过程一般是一个http post请求。建议的方式是通过ssl加密的传输（https协议），从而避免敏感信息被嗅探。

2. 后端核对用户名和密码成功后，将用户的id等其他信息作为jwt payload（负载），将其与头部分别进行base64编码拼接后签名，形成一个jwt。形成的jwt就是一个形同lll.zzz.xxx的字符串。

3. 后端将jwt字符串作为登录成功的返回结果返回给前端。前端可以将返回的结果保存在localstorage或sessionstorage上，退出登录时前端删除保存的jwt即可。

4. 前端在每次请求时将jwt放入http header中的authorization位。(解决xss和xsrf问题)

5. 后端检查是否存在，如存在验证jwt的有效性。例如，检查签名是否正确；检查token是否过期；检查token的接收方是否是自己（可选）。

6. 验证通过后后端使用jwt中包含的用户信息进行其他逻辑操作，返回相应结果。

和session方式存储id的差异

session方式存储用户id的最大弊病在于session是存储在服务器端的，所以需要占用大量服务器内存，对于较大型应用而言可能还要保存许多的状态。一般而言，大型应用还需要借助一些kv数据库和一系列缓存机制来实现session的存储。

而jwt方式将用户状态分散到了客户端中，可以明显减轻服务端的内存压力。除了用户id之外，还可以存储其他的和用户相关的信息，例如该用户是否是管理员、用户所在的分组等。虽说jwt方式让服务器有一些计算压力（例如加密、编码和解码），但是这些压力相比磁盘存储而言可能就不算什么了。具体是否采用，需要在不同场景下用数据说话。

• 单点登录

session方式来存储用户id，一开始用户的session只会存储在一台服务器上。对于有多个子域名的站点，每个子域名至少会对应一台不同的服务器，例如：www.taobao.com，nv.taobao.com，nz.taobao.com，login.taobao.com。所以如果要实现在login.taobao.com登录后，在其他的子域名下依然可以取到session，这要求我们在多台服务器上同步session。使用jwt的方式则没有这个问题的存在，因为用户的状态已经被传送到了客户端。

总结

jwt的主要作用在于（一）可附带用户信息，后端直接通过jwt获取相关信息。（二）使用本地保存，通过http header中的authorization位提交验证。但其实关于jwt存放到哪里一直有很多讨论，有人说存放到本地存储，有人说存 cookie。个人偏向于放在本地存储，如果你有什么意见和看法欢迎提出。