權限認證基礎:區分Authentication,Authorization以及Cookie、Session、Token

時間 2020-01-19

標籤權限認證基礎區分 authentication authorization 以及 cookie session token 欄目 HTML 简体版

原文原文鏈接

1. 認證 (Authentication) 和受權 (Authorization)的區別是什麼？

這是一個絕大多數人都會混淆的問題。首先先從讀音上來認識這兩個名詞，不少人都會把它倆的讀音搞混，因此我建議你先先去查一查這兩個單詞到底該怎麼讀，他們的具體含義是什麼。html

說簡單點就是：git

認證 (Authentication)：你是誰。
受權 (Authorization)：你有權限幹什麼。

稍微正式點（囉嗦點）的說法就是：github

Authentication（認證）是驗證您的身份的憑據（例如用戶名/用戶ID和密碼），經過這個憑據，系統得以知道你就是你，也就是說系統存在你這個用戶。因此，Authentication 被稱爲身份/用戶驗證。
Authorization（受權）發生在 Authentication（認證）以後。受權嘛，光看意思你們應該就明白，它主要掌管咱們訪問系統的權限。好比有些特定資源只能具備特定權限的人才能訪問好比admin，有些對系統資源操做好比刪除、添加、更新只能特定人才具備。

這兩個通常在咱們的系統中被結合在一塊兒使用，目的就是爲了保護咱們系統的安全性。web

2. 什麼是Cookie ? Cookie的做用是什麼?如何在服務端使用 Cookie ?

2.1 什麼是Cookie ? Cookie的做用是什麼?

Cookie 和 Session都是用來跟蹤瀏覽器用戶身份的會話方式，可是二者的應用場景不太同樣。redis

維基百科是這樣定義 Cookie 的：Cookies是某些網站爲了辨別用戶身份而儲存在用戶本地終端上的數據（一般通過加密）。簡單來講： Cookie 存放在客戶端，通常用來保存用戶信息。算法

下面是 Cookie 的一些應用案例：spring

咱們在 Cookie 中保存已經登陸過的用戶信息，下次訪問網站的時候頁面能夠自動幫你登陸的一些基本信息給填了。除此以外，Cookie 還能保存用戶首選項，主題和其餘設置信息。
使用Cookie 保存 session 或者 token ，向後端發送請求的時候帶上 Cookie，這樣後端就能取到session或者token了。這樣就能記錄用戶當前的狀態了，由於 HTTP 協議是無狀態的。
Cookie 還能夠用來記錄和分析用戶行爲。舉個簡單的例子你在網上購物的時候，由於HTTP協議是沒有狀態的，若是服務器想要獲取你在某個頁面的停留狀態或者看了哪些商品，一種經常使用的實現方式就是將這些信息存放在Cookie

2.2 如何能在服務端使用 Cookie 呢？

這部份內容參考：https://attacomsian.com/blog/cookies-spring-boot，更多如何在Spring Boot中使用Cookie 的內容能夠查看這篇文章。數據庫

1)設置cookie返回給客戶端json

@GetMapping("/change-username") public String setCookie(HttpServletResponse response) {  // 建立一個 cookie  Cookie cookie = new Cookie("username", "Jovan");  //設置 cookie過時時間  cookie.setMaxAge(7 * 24 * 60 * 60); // expires in 7 days  //添加到 response 中  response.addCookie(cookie);   return "Username is changed!"; }

2) 使用Spring框架提供的@CookieValue註解獲取特定的 cookie的值後端

@GetMapping("/") public String readCookie(@CookieValue(value = "username", defaultValue = "Atta") String username) {  return "Hey! My username is " + username; }

3) 讀取全部的 Cookie 值

@GetMapping("/all-cookies") public String readAllCookies(HttpServletRequest request) {   Cookie[] cookies = request.getCookies();  if (cookies != null) {  return Arrays.stream(cookies)  .map(c -> c.getName() + "=" + c.getValue()).collect(Collectors.joining(", "));  }   return "No cookies"; }

3. Cookie 和 Session 有什麼區別？如何使用Session進行身份驗證？

Session 的主要做用就是經過服務端記錄用戶的狀態。典型的場景是購物車，當你要添加商品到購物車的時候，系統不知道是哪一個用戶操做的，由於 HTTP 協議是無狀態的。服務端給特定的用戶建立特定的 Session 以後就能夠標識這個用戶而且跟蹤這個用戶了。

Cookie 數據保存在客戶端(瀏覽器端)，Session 數據保存在服務器端。相對來講 Session 安全性更高。若是使用 Cookie 的一些敏感信息不要寫入 Cookie 中，最好能將 Cookie 信息加密而後使用到的時候再去服務器端解密。

那麼，如何使用Session進行身份驗證？

不少時候咱們都是經過 SessionID 來實現特定的用戶，SessionID 通常會選擇存放在 Redis 中。舉個例子：用戶成功登錄系統，而後返回給客戶端具備 SessionID 的 Cookie，當用戶向後端發起請求的時候會把 SessionID 帶上，這樣後端就知道你的身份狀態了。關於這種認證方式更詳細的過程以下：

用戶向服務器發送用戶名和密碼用於登錄系統。
服務器驗證經過後，服務器爲用戶建立一個 Session，並將 Session信息存儲起來。
服務器向用戶返回一個 SessionID，寫入用戶的 Cookie。
當用戶保持登陸狀態時，Cookie 將與每一個後續請求一塊兒被髮送出去。
服務器能夠將存儲在 Cookie 上的 Session ID 與存儲在內存中或者數據庫中的 Session 信息進行比較，以驗證用戶的身份，返回給用戶客戶端響應信息的時候會附帶用戶當前的狀態。

另外，Spring Session提供了一種跨多個應用程序或實例管理用戶會話信息的機制。若是想詳細瞭解能夠查看下面幾篇很不錯的文章：

4. 什麼是 Token?什麼是 JWT?如何基於Token進行身份驗證？

咱們在上一個問題中探討了使用 Session 來鑑別用戶的身份，而且給出了幾個 Spring Session 的案例分享。咱們知道 Session 信息須要保存一份在服務器端。這種方式會帶來一些麻煩，好比須要咱們保證保存 Session 信息服務器的可用性、不適合移動端（依賴Cookie）等等。

有沒有一種不須要本身存放 Session 信息就能實現身份驗證的方式呢？使用 Token 便可！JWT （JSON Web Token）就是這種方式的實現，經過這種方式服務器端就不須要保存 Session 數據了，只用在客戶端保存服務端返回給客戶的 Token 就能夠了，擴展性獲得提高。

JWT 本質上就一段簽名的 JSON 格式的數據。因爲它是帶有簽名的，所以接收者即可以驗證它的真實性。

下面是 RFC 7519 對 JWT 作的較爲正式的定義。

JSON Web Token (JWT) is a compact, URL-safe means of representing claims to be transferred between two parties. The claims in a JWT are encoded as a JSON object that is used as the payload of a JSON Web Signature (JWS) structure or as the plaintext of a JSON Web Encryption (JWE) structure, enabling the claims to be digitally signed or integrity protected with a Message Authentication Code (MAC) and/or encrypted. ——JSON Web Token (JWT)

JWT 由 3 部分構成:

Header :描述 JWT 的元數據。定義了生成簽名的算法以及 Token 的類型。
Payload（負載）:用來存放實際須要傳遞的數據
Signature（簽名）：服務器經過Payload、Header和一個密鑰(secret)使用 Header 裏面指定的簽名算法（默認是 HMAC SHA256）生成。

在基於 Token 進行身份驗證的的應用程序中，服務器經過Payload、Header和一個密鑰(secret)建立令牌（Token）並將 Token 發送給客戶端，客戶端將 Token 保存在 Cookie 或者 localStorage 裏面，之後客戶端發出的全部請求都會攜帶這個令牌。你能夠把它放在 Cookie 裏面自動發送，可是這樣不能跨域，因此更好的作法是放在 HTTP Header 的 Authorization字段中： Authorization: Bearer Token。