jwt与签名机制讲解

1、第十九节 JWT与签名机制讲解Guns系列教程JWT的介绍Jwt简介:Jwt是一种用户授权机制,jwt由服务器端产生,当客户端拥有jwt之后,就相当于客户端拥有了访问服务器资源的权限,jwt由三部分组成,第一部分头部( header),第二部分载荷(payload),第三部分是Jwt的样子:xxxx. xxxx. xxxxheader:声明类型(jwt) ,声明加密的算法(HS256),json经过base64编码payload:存放有效信息,json经过base64编码( signature).signature:存放信息,由header和payload分别base64编码后,并拼接秘钥串(

2、secret),再进行加密生成Header base64.payload base64 + secretJWT参考资料 参考资料: /p/576dbf44b2ae http:/blog.rainy.im/2015/06/10/react-jwt-pretty-good-practice/ /2015/09/06/understanding-jwt/ /2015/09/07/user-authentication-with-jwt/传输数据签名和加密的作用

3、 签名的作用: 防止数据被篡改. 如何保证不被篡改: 原始数据base64编码+随机字符串进行md5加密,如果被篡改,则服务端验证的时候签名和数据不对应. 加密的作用: 防止数据泄露客户端服务端原始数据Base64解码(可选)验证jwt和签名接收的客户端数据最终传输的数据签名加密(可选)base64编码原始数据(json)回顾REST模块 接口访问流程要点:1. 访问接口之前需要持有jwt令牌2. 访问接口的json数据需要进行base64编码,编码之后需要进行md5签名(编码+混淆字符串) 3.混淆字符串通过获取jwt token的接口同时获取流程图:流程说明:1.客户端请求auth接口,获

4、取jwt token,请求时一般携带用户名和或者手机号和验证码等.,2. 服务端返回jwt token和用于签名用的混淆字符串(混淆字符串的作用是对客户端传输数据进行签名)3. 客户端对传输数据(一般为json数据)进行base64编码(保证解析json的顺序)将编码之后的数据和混淆字符串拼接进行md5加密,加密结果作为签名4. 将md5加密之后的数据和base64编码的数据发送给hello接口5. 将客户端传来的数据进行签名校验,验证签名是否正确,是否超时等一系列 操作6. 校验成功的话,正常返回hello接口内容,校验失败的话返回签名异常12客户端4635服务端hello接口校验器Auth接口JWT机制原理AuthController控制器为auth接口(作用:验证请求账号字符串),返回jwt token和签名用的随机WithSignMessageConverter类实现签名校验,并可以把base64编码的内容转化成实体AuthFilter过滤器验证客户端的jwt token是否正确,是否超时等等DataSecurityAction接口定义了数据传输的保护措施,目前默认的是只对数据进行base64编码,可以自行实现该接口实现自己业务需要的加密方式JwtTokenUtil类为jwt token相关的工具类IReqValidator接口为A