寫文章

首頁手記 JWT 用戶校驗入門：新手必看指南

JWT 用戶校驗入門：新手必看指南

標簽：

安全運維 API

概述

本文介绍了如何在 Web 应用中使用 JSON Web Token (JWT) 进行用户身份验证和授权。通过生成、传输和验证 JWT 令牌，确保 Web 应用的安全性。文章详细讲解了 JWT 的工作原理、应用场景以及如何在实际项目中实现用户登录和保护接口，通过示例代码和实战演练，帮助读者掌握 JWT 的使用和安全性保障。

JWT 用户校验入门：新手必看指南

1. JWT 简介

什么是 JWT

JSON Web Token (JWT) 是一种开放的标准（RFC 7519），用于在各方之间安全地传输信息。它是一种紧凑的、URL 安全的令牌，使用 JSON 对象来表示编码的声明。JWT 的设计初衷是为了解决在用户认证和授权过程中，如何安全地传输用户身份信息的问题。它通常用于 Web 应用程序中的用户登录验证和身份认证。

JWT 的工作原理

JWT 的工作原理可以分为三个主要步骤：

生成 JWT: 客户端发送用户名和密码到服务器，服务器验证用户名和密码的正确性，然后生成一个 JWT，并在服务器端保存这个 JWT。
发送 JWT: 服务器将 JWT 通过 HTTP 响应头的 Authorization 字段发送给客户端，客户端保存这个 JWT。
请求验证: 客户端在发送请求时，将 JWT 作为 HTTP 头中的 Authorization 字段的值（通常是 Bearer 模式，格式为 Bearer <token>）发送给服务器。服务器收到请求后，会检查这个 JWT 是否有效，如果有效，则允许访问。

JWT 的优势与应用场景

JWT 的主要优势包括：

无状态: JWT 是无状态的，意味着服务器不需要存储用户的会话信息。这减少了服务器的负载，使得服务器更容易扩展和维护。
安全性: JWT 通过编码和签名机制确保数据的安全和不可篡改性。
便捷性: JWT 可以轻松地添加在 HTTP 头中，便于在不同服务之间传递。

JWT 的应用场景包括：

用户身份验证和授权: JWT 可以用于确保用户登录成功后，后续请求中携带的 JWT 有效。
API 访问控制: 可以通过 JWT 来控制对特定资源的访问权限。
单点登录: JWT 可以用于实现单点登录，允许用户在多个服务间无缝切换。

2. 基础概念

JSON Web Token (JWT) 的组成部分

一个 JWT 由三部分组成：Header（头部）、Payload（载荷）、Signature（签名）。

Header：包含令牌的类型（例如，JWT）以及所使用的签名算法（例如，HMAC SHA256 或 RSA）。
Payload：包含声明（claims），其中一些声明是标准的（例如，iss、exp、sub 和 aud），而另一些是自定义的。
Signature：通过用私钥（如果使用的是 RS256 加密）或通过使用一个密钥（如果使用的是 HMAC 的签名算法）结合起来的前两部分通过哈希算法得到的，确保了消息的完整性和认证。

Header 和 Payload 的结构

Header 的结构通常是这样的 JSON 对象，然后进行 Base64 编码：
```
{
  "typ": "JWT",
  "alg": "HS256"
}
```

Payload 的结构通常包含一个标准声明集和自定义声明：

{
  "iss": "https://example.com",
  "exp": 1300819380,
  "sub": "johndoe",
  "aud": "example_user",
  "iat": 1300816420
}

示例代码：构建 Header 和 Payload

import base64
import json

# 构建 Header
header = {
    'typ': 'JWT',
    'alg': 'HS256'
}
header_encoded = base64.b64encode(json.dumps(header).encode('utf-8')).decode('utf-8')

# 构建 Payload
payload = {
    'iss': 'https://example.com',
    'exp': 1300819380,
    'sub': 'johndoe',
    'aud': 'example_user',
    'iat': 1300816420
}
payload_encoded = base64.b64encode(json.dumps(payload).encode('utf-8')).decode('utf-8')

Signature 生成过程

Signature 是通过将 Header 和 Payload 进行编码、签名生成的。生成过程如下：

将 Header 和 Payload 分别 Base64 编码。
使用共享密钥（或公钥）进行哈希签名。

示例代码：

import jwt
import datetime
import base64

# 构建 Header 和 Payload
header = {
    'typ': 'JWT',
    'alg': 'HS256'
}
header_encoded = base64.b64encode(json.dumps(header).encode('utf-8')).decode('utf-8')

payload = {
    'iss': 'https://example.com',
    'exp': datetime.datetime.utcnow() + datetime.timedelta(seconds=60),
    'sub': 'johndoe',
    'aud': 'example_user',
    'iat': datetime.datetime.utcnow()
}
payload_encoded = base64.b64encode(json.dumps(payload).encode('utf-8')).decode('utf-8')

# 密钥
secret_key = 'secret'

# 生成 Signature
signature = jwt.encode(payload, secret_key, algorithm='HS256')

# 构建完整的 JWT
jwt_token = f"{header_encoded}.{payload_encoded}.{signature}"
print(jwt_token)

3. 实现 JWT 用户校验

如何生成 JWT

生成 JWT 需要包含必要的信息，并进行编码和签名。示例代码如下：

import jwt
import datetime

# 创建载荷
payload = {
    'iss': 'https://example.com',
    'exp': datetime.datetime.utcnow() + datetime.timedelta(seconds=60),
    'sub': 'johndoe',
    'aud': 'example_user',
    'iat': datetime.datetime.utcnow()
}

# 生成 JWT
secret_key = 'secret'
jwt_token = jwt.encode(payload, secret_key, algorithm='HS256')

print(jwt_token)

如何接收与验证 JWT

服务器端需要解析 JWT 并验证其有效性。示例代码如下：

import jwt
import datetime

# 校验 JWT
def verify_jwt(token, secret_key):
    try:
        decoded = jwt.decode(token, secret_key, algorithms=['HS256'])
        return decoded
    except jwt.ExpiredSignatureError:
        return "Token expired"
    except jwt.InvalidTokenError:
        return "Invalid token"

# 示例验证
token = "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJodHRwczovL2V4YW1wbGUuY29tIiwiaWF0IjoxNjEwMDM4ODAwLCJleHAiOjE2MTAwNDI0ODAsInN1YiI6ImpvaG5kb2UiLCJhdWQiOiJleGFtcGxlX3VzZXIifQ.wrF6W8tHJlZaH5F7p7wGJXmt4FJPksYnS4L90QXtG6g"
result = verify_jwt(token, 'secret')
print(result)

实例代码演示

我们将使用 Python 的 jwt 库来演示如何生成和验证 JWT。

import jwt
import datetime

# 创建 JWT
def create_jwt(sub, secret_key):
    payload = {
        'sub': sub,
        'iat': datetime.datetime.utcnow(),
        'exp': datetime.datetime.utcnow() + datetime.timedelta(days=1)
    }
    token = jwt.encode(payload, secret_key, algorithm='HS256')
    return token

# 验证 JWT
def verify_jwt(token, secret_key):
    try:
        decoded = jwt.decode(token, secret_key, algorithms=['HS256'])
        return decoded
    except jwt.ExpiredSignatureError:
        return "Token expired"
    except jwt.InvalidTokenError:
        return "Invalid token"

# 示例代码
secret_key = 'secret'
token = create_jwt('johndoe', secret_key)
print(token)

# 验证生成的 JWT
result = verify_jwt(token, secret_key)
print(result)

4. JWT 安全性

如何保证 JWT 的安全性

为了保证 JWT 的安全性，以下是一些关键做法：

使用 HTTPS，确保通过 HTTPS 传输 JWT，以确保数据的安全。
设置过期时间，为 JWT 设置合理的过期时间，以减少其被滥用的风险。
使用强密钥，使用足够强大的密钥来签名 JWT。
验证签名，在接收 JWT 时验证其签名，确保数据未被篡改。

示例代码：使用 HTTPS 和设置过期时间

# 设置过期时间
def create_jwt(sub, secret_key):
    payload = {
        'sub': sub,
        'iat': datetime.datetime.utcnow(),
        'exp': datetime.datetime.utcnow() + datetime.timedelta(seconds=3600)  # 设置为 1 小时
    }
    token = jwt.encode(payload, secret_key, algorithm='HS256')
    return token

常见的 JWT 攻击手段

中间人攻击（Man-in-the-Middle, MITM）: 攻击者通过窃听或篡改通信来获取 JWT。
重放攻击（Replay Attack）: 攻击者截取有效的 JWT 并重复使用它。
密钥泄漏: 如果 JWT 使用的密钥被泄露，攻击者可以生成有效的 JWT。

如何防范这些攻击

使用 HTTPS，确保通信通道的安全。
设置过期时间，限制 JWT 的有效期，防止攻击者重放。
使用强密钥，选择一个足够长且复杂的密钥。
会话管理，在服务器端实现严格的会话管理机制。
用户会话刷新，定期刷新用户的 JWT，减少其被重用的机会。

5. 实战演练

构建简单的登录接口

我们将构建一个简单的用户登录接口，使用 JWT 进行用户认证。

定义用户模型：

class User:
    def __init__(self, username, password):
        self.username = username
        self.password = password

用户验证逻辑：

def verify_user(username, password):
    # 这里可以是数据库查询
    user = User(username, password)
    if user.username == 'johndoe' and user.password == 'password123':
        return True
    return False

生成 JWT：

import jwt
import datetime

def create_jwt(username, secret_key):
    payload = {
        'sub': username,
        'iat': datetime.datetime.utcnow(),
        'exp': datetime.datetime.utcnow() + datetime.timedelta(days=1)
    }
    token = jwt.encode(payload, secret_key, algorithm='HS256')
    return token

登录接口：

def login(username, password, secret_key):
    if verify_user(username, password):
        token = create_jwt(username, secret_key)
        return token
    return "Invalid credentials"

验证 JWT：

def verify_jwt(token, secret_key):
    try:
        decoded = jwt.decode(token, secret_key, algorithms=['HS256'])
        return decoded
    except jwt.ExpiredSignatureError:
        return "Token expired"
    except jwt.InvalidTokenError:
        return "Invalid token"

使用 JWT 实现用户身份验证

我们将使用 Flask 框架来构建一个简单的 Web 应用程序，其中包含用户登录和验证 JWT 的功能。

安装 Flask：
```
pip install Flask
```

创建 Flask 应用程序：

from flask import Flask, request, jsonify

app = Flask(__name__)

# 用户模型
class User:
    def __init__(self, username, password):
        self.username = username
        self.password = password

# 用户验证
def verify_user(username, password):
    user = User(username, password)
    if user.username == 'johndoe' and user.password == 'password123':
        return True
    return False

# 生成 JWT
import jwt
import datetime

def create_jwt(username, secret_key):
    payload = {
        'sub': username,
        'iat': datetime.datetime.utcnow(),
        'exp': datetime.datetime.utcnow() + datetime.timedelta(days=1)
    }
    token = jwt.encode(payload, secret_key, algorithm='HS256')
    return token

# 登录接口
@app.route('/login', methods=['POST'])
def login():
    data = request.json
    username = data.get('username')
    password = data.get('password')
    secret_key = 'secret'
    if verify_user(username, password):
        token = create_jwt(username, secret_key)
        return jsonify({'token': token})
    return jsonify({'message': 'Invalid credentials'}), 401

# 验证 JWT
def verify_jwt(token, secret_key):
    try:
        decoded = jwt.decode(token, secret_key, algorithms=['HS256'])
        return decoded
    except jwt.ExpiredSignatureError:
        return "Token expired"
    except jwt.InvalidTokenError:
        return "Invalid token"

# 受保护的接口
@app.route('/protected', methods=['GET'])
def protected():
    token = request.headers.get('Authorization')
    if token:
        token = token.split(' ')[1]  # Bearer <token>
        secret_key = 'secret'
        result = verify_jwt(token, secret_key)
        if result != "Invalid token":
            return jsonify({'message': 'Access granted'})
        return jsonify({'message': 'Invalid token'}), 401
    return jsonify({'message': 'No token provided'}), 401

if __name__ == '__main__':
    app.run(debug=True)

启动应用：
```
python app.py
```

测试登录接口：

curl -X POST -H "Content-Type: application/json" -d '{"username": "johndoe", "password": "password123"}' http://localhost:5000/login

测试受保护接口：

curl -H "Authorization: Bearer <token>" http://localhost:5000/protected

6. 总结与进阶阅读

JWT 用户校验的总结

本文详细介绍了 JSON Web Token (JWT) 的基本概念、工作原理、生成和验证方法，以及如何在实际应用中使用 JWT 进行用户身份验证。通过示例代码和实战演练，帮助读者理解 JWT 的应用场景和如何确保其安全性。

常见问题解答

Q: JWT 为什么没有过期时间？
A: JWT 通常包含一个 exp 声明，用于表示令牌的过期时间。在验证 JWT 时，服务器会检查这个声明以确保令牌未过期。
Q: 如何防止 JWT 被重用？
A: 设置合理的过期时间，使用会话刷新机制，以及在服务器端实现严格的会话管理。
Q: JWT 的安全性如何保证？
A: 通过使用 HTTPS 传输 JWT，设置过期时间，使用强密钥，验证签名等措施来保证 JWT 的安全性。

通过本文的介绍和示例代码，希望能帮助读者更好地理解和使用 JWT，确保用户认证和授权的安全性。

點擊查看更多內(nèi)容

為 TA 點贊

若覺得本文不錯，就分享一下吧！

評論

評論

共同學(xué)習(xí)，寫下你的評論

評論加載中...

展開查看更多評論

作者其他優(yōu)質(zhì)文章

正在加載中

尚方寶劍之說

手記
篇

粉絲

7

獲贊與收藏

20

關(guān)注作者，訂閱最新文章

閱讀免費教程

Java 并發(fā)原理入門教程

26個小節(jié) 39860 577

HTTP 入門教程

28個小節(jié) 38510 663

Hibernate 入門教程

29個小節(jié) 6441 97

推薦

評論

收藏

共同學(xué)習(xí)，寫下你的評論



感謝您的支持，我會繼續(xù)努力的～

掃碼打賞，你說多少就多少

贊賞金額會直接到老師賬戶

支付方式

打開微信掃一掃，即可進行掃碼打賞哦

今天注冊有機會得

100積分直接送

付費專欄免費學(xué)

大額優(yōu)惠券免費領(lǐng)

立即參與放棄機會

點擊
抽獎

慕課手記新用戶專享福利

恭喜你，你的運氣太好了，居然抽中了 100個積分！

恭喜你，抽中了價值元的專欄！

太棒了，直接落到你賬戶里！

積分商城里的羅技鼠標、機械鍵盤、
Kindle 閱讀器、小米平衡車
Apple iPad （10.2英寸）、大額優(yōu)惠券
在等著你去兌換了噢

作者：

免費贈送

兌換碼：1111222211 復(fù)制

優(yōu)惠券可用于購買實戰(zhàn)課、體系課
無門檻使用

先去看看，有什么好東西馬上兌換我愛學(xué)習(xí)，選課去


第七色在线视频,2021少妇久久久久久久久久,亚洲欧洲精品成人久久av18,亚洲国产精品特色大片观看完整版,孙宇晨将参加特朗普的晚宴

JWT 用戶校驗入門：新手必看指南

1. JWT 简介

什么是 JWT

JWT 的工作原理

JWT 的优势与应用场景

2. 基础概念

JSON Web Token (JWT) 的组成部分

Header 和 Payload 的结构

示例代码：构建 Header 和 Payload

Signature 生成过程

3. 实现 JWT 用户校验

如何生成 JWT

如何接收与验证 JWT

实例代码演示

4. JWT 安全性

如何保证 JWT 的安全性

示例代码：使用 HTTPS 和设置过期时间

常见的 JWT 攻击手段

如何防范这些攻击

5. 实战演练

构建简单的登录接口

使用 JWT 实现用户身份验证

6. 总结与进阶阅读

JWT 用户校验的总结

推荐进一步学习的资源

常见问题解答

閱讀免費教程

第七色在线视频,2021少妇久久久久久久久久,亚洲欧洲精品成人久久av18,亚洲国产精品特色大片观看完整版,孙宇晨将参加特朗普的晚宴

熱搜

最近搜索清空

JWT 用戶校驗入門：新手必看指南

1. JWT 简介

什么是 JWT

JWT 的工作原理

JWT 的优势与应用场景

2. 基础概念

JSON Web Token (JWT) 的组成部分

Header 和 Payload 的结构

示例代码：构建 Header 和 Payload

Signature 生成过程

3. 实现 JWT 用户校验

如何生成 JWT

如何接收与验证 JWT

实例代码演示

4. JWT 安全性

如何保证 JWT 的安全性

示例代码：使用 HTTPS 和设置过期时间

常见的 JWT 攻击手段

如何防范这些攻击

5. 实战演练

构建简单的登录接口

使用 JWT 实现用户身份验证

6. 总结与进阶阅读

JWT 用户校验的总结

推荐进一步学习的资源

常见问题解答

閱讀免費教程