[[348628]]

 JWT是json web token的簡稱，本文介紹它的原理，最后后端用nodejs自己實現如何為客戶端生成令牌token和校驗token

一 .為什么需要會話管理

我們用 nodejs 為前端或者其他服務提供 resful 接口時，http 協議他是一個無狀態的協議，有時候我們需要根據這個請求的上下獲取具體的用戶是否有權限，針對用戶的上下文進行操作。所以出現了cookies session還有jwt這幾種技術的出現， 都是對HTTP協議的一個補充。使得我們可以用HTTP協議+狀態管理構建一個的面向用戶的WEB應用。

二 .Session 和 cookie

session 和 cookies 是有聯系的，session 就是服務端在客戶端 cookies 種下的session_id, 服務端保存session_id所對應的當前用戶所有的狀態信息。每次客戶端請求服務端都帶上cookies中的session_id, 服務端判斷是否有具體的用戶信息，如果沒有就去調整登錄。

cookies安全性不好，攻擊者可以通過獲取本地cookies進行欺騙或者利用cookies進行CSRF攻擊。

cookies在多個域名下，會存在跨域問題

session的信息是保存在服務端上面的，當我們node.js在stke部署多臺機器的時候，需要解決共享session，所以引出來session持久化問題，所以session不支持分布式架構，無法支持橫向擴展，只能通過數據庫來保存會話數據實現共享。如果持久層失敗會出現認證失敗。

三 .JWT的定義

jwt是json web token的全稱，他解決了session以上的問題，優點是服務器不保存任何會話數據，即服務器變為無狀態，使其更容易擴展，什么情況下使用jwt比較合適，我覺得就是授權這個場景，因為jwt使用起來輕便，開銷小，后端無狀態，所以使用比較廣泛。

四 .JWT的原理

JWT 的原理是，服務器認證以后，生成一個 JSON 對象，發回給用戶，就像下面這樣。

{ 
 
    "姓名": "張三", 
 
    "角色": "管理員", 
 
    "到期時間": "2018年7月1日0點0分" 
 
} 

以后，用戶與服務端通信的時候，都要發回這個 JSON 對象。服務器完全只靠這個對象認定用戶身份。為了防止用戶篡改數據，服務器在生成這個對象的時候，會加上簽名。

五 .JWT的認證流程

JWT的流程說明：

1. 瀏覽器發起請求登陸，攜帶用戶名和密碼;
2. 服務端根據用戶名和明碼到數據庫驗證身份，根據算法，將用戶標識符打包生成 token,
3. 服務器返回JWT信息給瀏覽器，JWT不應該包含敏感信息，這是很重要的一點
4. 瀏覽器發起請求獲取用戶資料，把剛剛拿到的 token一起發送給服務器，一般放在header里面，字段為authorization
5. 服務器發現數據中有 token，decode token的信息，然后再次簽名，驗明正身;
6. 服務器返回該用戶的用戶資料;
7. 服務器可以在payload設置過期時間， 如果過期了，可以讓客戶端重新發起驗證。

六 .JWT的數據結構

JWT 包含了使用.風格的三個部分，包含header（頭部）、Payload（荷載）以及 Signature（簽名）

Header 頭部

{"alg": "HS256","typ": "JWT"} 
// algorithm => HMAC SHA256// type => JWT 

這是固定的寫法，alg表面要用的是HS256算法

Payload 負載、載荷

JWT 規定了7個官方字段

iss (issuer)：簽發人 
exp (expiration time)：過期時間 
sub (subject)：主題 
aud (audience)：受眾 
nbf (Not Before)：生效時間 
iat (Issued At)：簽發時間 
jti (JWT ID)：編號 

除了這七個，可以自定義，比如過期時間

Signature 簽名

對前兩部分header和payload進行簽名，防止數據篡改

HMACSHA256( 
  base64UrlEncode(header) + "." + 
  base64UrlEncode(payload), 
  secret) 

secret是一段字符串，后端保存，需要注意的是 JWT 作為一個令牌 token，有些場合可能會放到 URL（比如 api.example.com/?token=xxx）。Base64 有三個字符+、/和=，在 URL 里面有特殊含義，所以要被替換掉：=被省略、+替換成-，/替換成_ 。這就是 Base64URL 算法。

七 .jwt使用方式

HTTP 請求的頭信息Authorization字段里面, Bearer也是規定好的

Authorization: Bearer <token> 

通過url傳輸（不推薦）

http://www.xxx.com/pwa?token=xxxxx 

如果是post請求也可以放在請求體中

八 .在koa項目中使用

可以使用現成庫，jwt-simple 或者 jsonwebtoken

let Koa = require('koa'); 
let Router = require('koa-router'); 
let bodyparser = require('koa-bodyparser'); 
let jwt = require('jwt-simple'); 
let router = new Router() 
let app = new Koa(); 
app.use(bodyparser()); 
// 可以自己自定義 
let secret = 'zhenglei'; 
// 驗證是否登陸 
router.post('/login',async(ctx)=>{  
    let {username,password} = ctx.request.body; 
    if(username === 'admin' && password === 'admin'){ 
       // 通常會查數據庫，這里簡單的演示 
       let token =  jwt.encode(username, secret); 
       ctx.body = { 
            code:200, 
            username, 
            token, 
       } 
    } 
}); 
// 驗證是否有權限 
router.get('/validate',async(ctx)=>{  
    let Authorization = ctx.get('authorization') 
    let [,token] = Authorization.split(' '); 
    if(token){ 
        try{ 
            let r = jwt.decode(token,secret); 
            ctx.body = { 
                code:200, 
                username:r, 
                token 
            } 
        }catch(e){ 
            ctx.body = { 
                code:401, 
                data:'沒有登陸' 
            } 
        } 
    }else{ 
        ctx.body = { 
            code:401, 
            data:'沒有登陸' 
        } 
    } 
   
}); 
app.use(router.routes()); 
app.listen(4000); 

1. 實現兩個接口 一個是/login 驗證是否登錄，一個是 validate,驗證是否有權限
2. 請求login接口的時候，客戶端帶username和password, 后端一般會查數據庫，驗證是否存在當前用戶，如果存在則為username進行簽名，千萬不要給password這些敏感信息也帶進來簽名
3. 客戶端接收后端給的token令牌，再請求其他接口，比如這個例子的/validate的時候，ajax請求的時候，可以在header指定authorization字段，后端拿到token進行decode，然后將header和payload進行再一次的簽名，如果前后的簽名一致，說明沒有被篡改過，則權限驗證通過。因為是同步的過程，所以可以用try catch來捕捉錯誤

九 .原理的實現

1. sha256哈希算法，可以用nodejs的內置加密模塊crypto, 生成base64字符串，要注意的是生成base64需要為+ - = 做一下替換，=被省略、+替換成-，/替換成_ 。這就是 Base64URL 算法。
2. token令牌的組成是header, payload和sigin的通過.來組成
3. base64urlUnescape 的解碼是固定寫法，decode出base64的內容

let myJwt = { 
    sign(content,secret){ 
        let r = crypto.createHmac('sha256',secret).update(content).digest('base64'); 
        return this.base64urlEscape(r) 
    }, 
    base64urlEscape(str){ 
        return str.replace(/\+/g, '-').replace(/\//g, '_').replace(/=/g, ''); 
    }, 
    toBase64(content){ 
        return this.base64urlEscape(Buffer.from(JSON.stringify(content)).toString('base64')) 
    }, 
    encode(username,secret){ 
        let header = this.toBase64({ typ: 'JWT', alg: 'HS256' }); 
        let content = this.toBase64(username); 
        let sign = this.sign([header,content].join('.'),secret); 
        return  [header,content,sign].join('.') 
    }, 
    base64urlUnescape(str) { 
        str += new Array(5 - str.length % 4).join('='); 
        return str.replace(/\-/g, '+').replace(/_/g, '/'); 
    }, 
    decode(token,secret){ 
        let [header,content,sign] = token.split('.'); 
        let newSign = this.sign([header,content].join('.'),secret); 
        if(sign === newSign){ 
            return Buffer.from(this.base64urlUnescape(content),'base64').toString(); 
        }else{ 
            throw new Error('被篡改') 
        } 
    } 
} 

十 .JWT的優缺點

1. JWT默認不加密，但可以加密。生成原始令牌后，可以使用改令牌再次對其進行加密。
2. 當JWT未加密方法時，一些私密數據無法通過JWT傳輸。
3. JWT不僅可用于認證，還可用于信息交換。善用JWT有助于減少服務器請求數據庫的次數。
4. JWT的最大缺點是服務器不保存會話狀態，所以在使用期間不可能取消令牌或更改令牌的權限。也就是說，一旦JWT簽發，在有效期內將會一直有效
5. JWT本身包含認證信息，因此一旦信息泄露，任何人都可以獲得令牌的所有權限。為了減少盜用，JWT的有效期不宜設置太長。對于某些重要操作，用戶在使用時應該每次都進行進行身份驗證。
6. 為了減少盜用和竊取，JWT不建議使用HTTP協議來傳輸代碼，而是使用加密的HTTPS協議進行傳輸。