微服務統一登錄認證怎麼作？JWT ？

時間 2019-11-26

標籤微服統一登錄認證怎麼 jwt 简体版

原文原文鏈接

無狀態登陸原理

有狀態服務，即服務端須要記錄每次會話的客戶端信息，從而識別客戶端身份，根據用戶身份進行請求的處理，典型的設計如tomcat中的session。java

例如登陸：用戶登陸後，咱們把登陸者的信息保存在服務端session中，而且給用戶一個cookie值，記錄對應的session。而後下次請求，用戶攜帶cookie值來，咱們就能識別到對應session，從而找到用戶的信息。git

缺點是什麼？github

微服務集羣中的每一個服務，對外提供的都是Rest風格的接口。而Rest風格的一個最重要的規範就是：服務的無狀態性，即：算法

帶來的好處是什麼呢？數據庫

無狀態登陸的流程：瀏覽器

流程圖：tomcat

整個登陸過程當中，最關鍵的點是什麼？安全

token的安全性服務器

token是識別客戶端身份的惟一標示，若是加密不夠嚴密，被人僞造那就完蛋了。cookie

採用何種方式加密纔是安全可靠的呢？

咱們將採用JWT + RSA非對稱加密

JWT，全稱是Json Web Token，是JSON風格輕量級的受權和身份認證規範，可實現無狀態、分佈式的Web應用受權；官網：https://jwt.io

GitHub上jwt的java客戶端：https://github.com/jwtk/jjwt

JWT包含三部分數據：

Header：頭部，一般頭部有兩部分信息：
- 聲明類型，這裏是JWT
- 加密算法，自定義
咱們會對頭部進行base64加密（可解密），獲得第一部分數據
Payload：載荷，就是有效數據，通常包含下面信息：
- 用戶身份信息（注意，這裏由於採用base64加密，可解密，所以不要存放敏感信息）
- 註冊聲明：如token的簽發時間，過時時間，簽發人等
這部分也會採用base64加密，獲得第二部分數據
Signature：簽名，是整個數據的認證信息。通常根據前兩步的數據，再加上服務的的密鑰（secret）（不要泄漏，最好週期性更換），經過加密算法生成。用於驗證整個數據完整和可靠性

生成的數據格式：

能夠看到分爲3段，每段就是上面的一部分數據

流程圖：

步驟翻譯：

由於JWT簽發的token中已經包含了用戶的身份信息，而且每次請求都會攜帶，這樣服務的就無需保存用戶信息，甚至無需去數據庫查詢，徹底符合了Rest的無狀態規範。

加密技術是對信息進行編碼和解碼的技術，編碼是把原來可讀信息（又稱明文）譯成代碼形式（又稱密文），其逆過程就是解碼（解密），加密技術的要點是加密算法，加密算法能夠分爲三類：

對稱加密，如AES
- 基本原理：將明文分紅N個組，而後使用密鑰對各個組進行加密，造成各自的密文，最後把全部的分組密文進行合併，造成最終的密文。
- 優點：算法公開、計算量小、加密速度快、加密效率高
- 缺陷：雙方都使用一樣密鑰，安全性得不到保證
非對稱加密，如RSA
- 基本原理：同時生成兩把密鑰：私鑰和公鑰，私鑰隱祕保存，公鑰能夠下發給信任客戶端
- 私鑰加密，持有私鑰或公鑰才能夠解密
- 公鑰加密，持有私鑰纔可解密
- 優勢：安全，難以破解
- 缺點：算法比較耗時
不可逆加密，如MD5，SHA
- 基本原理：加密過程當中不須要使用密鑰，輸入明文後由系統直接通過加密算法處理成密文，這種加密後的數據是沒法被解密的，沒法根據密文推算出明文。