zoukankan      html  css  js  c++  java
  • JsonWebToken

    概述

    如果各位不了解 JWT,不要紧张,它并不可怕。

    JSON Web Token(JWT)是一个非常轻巧的规范。这个规范允许我们使用JWT在用户和服务器之间传递安全可靠的信息。

    让我们来假想一下一个场景。在A用户关注了B用户的时候,系统发邮件给B用户,并且附有一个链接“点此关注A用户”。链接的地址可以是这样的

    https://www.xxxx.com/make-friend/?from_user=B&target_user=A

    组成

    一个JWT实际上就是一个字符串,它由三部分组成,头部载荷签名

    载荷(Payload)

    我们先将上面的添加好友的操作描述成一个JSON对象。其中添加了一些其他的信息,帮助今后收到这个JWT的服务器理解这个JWT。

    
    
    {
    "iss": "LiuzhichaoJWT",
    "iat": int(time.time()),
    "exp": expire_time,
    "aud": "luffy",
    "sub": "target@example.com",
    "from_user": "B",
    "target_user": "A"
    }

    这里面的前五个字段都是由JWT的标准所定义的。

    • iss: 该JWT的签发者

    • sub: 该JWT所面向的用户

    • aud: 接收该JWT的一方

    • exp(expires): 什么时候过期,这里是一个Unix时间戳

    • iat(issued at): 在什么时候签发的

    这些定义都可以在标准中找到。

    将上面的JSON对象进行[base64编码]可以得到下面的字符串。这个字符串我们将它称作JWT的Payload(载荷)。

    eyJpc3MiOiJKb2huIFd1IEpXVCIsImlhdCI6MTQ0MTU5MzUwMiwiZXhwIjoxNDQxNTk0NzIyLCJhdWQiOiJ3d3cuZXhhbXBsZS5jb20iLCJzdWIiOiJqcm9ja2V0QGV4YW1wbGUuY29tIiwiZnJvbV91c2VyIjoiQiIsInRhcmdldF91c2VyIjoiQSJ9
    # 载荷
    expire_time = int(time.time() + 10)
    
    payload = {
        "iss": "LiuzhichaoJWT",
        "iat": int(time.time()),
        "exp": expire_time,
        "aud": "luffy",
        "sub": "target@example.com",
        "from_user": "B",
        "target_user": "A"
    }
    
    json_payload = base64.urlsafe_b64encode(json.dumps(payload).encode("utf-8"))
    
    print(json_payload)

    头部(Header)

    JWT还需要一个头部,头部用于描述关于该JWT的最基本的信息,例如其类型以及签名所用的算法等。这也可以被表示成一个JSON对象。

    {
        "typ": "JWT",
        "alg": "HS256"
    }

    在这里,我们说明了这是一个JWT,并且我们所用的签名算法(后面会提到)是HS256算法。

    对它也要进行Base64编码,之后的字符串就成了JWT的Header(头部)。

    eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9
    import json
    import base64
    
    
    headers = {
        "typ": "JWT",
        "alg": "HS256"
    }
    
    base64.urlsafe_b64encode(json.dumps(headers).encode("utf-8")).replace(b'=', b'')

    签名(签名)

    将上面的两个编码后的字符串都用句号 .连接在一起(头部在前),就形成了

    eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJpc3MiOiJKb2huIFd1IEpXVCIsImlhdCI6MTQ0MTU5MzUwMiwiZXhwIjoxNDQxNTk0NzIyLCJhdWQiOiJ3d3cuZXhhbXBsZS5jb20iLCJzdWIiOiJqcm9ja2V0QGV4YW1wbGUuY29tIiwiZnJvbV91c2VyIjoiQiIsInRhcmdldF91c2VyIjoiQSJ9

    最后,我们将上面拼接完的字符串用HS256算法进行加密。在加密的时候,我们还需要提供一个密钥(secret)。如果我们用 `liuzhichao` 作为密钥的话,那么就可以得到我们加密后的内容

    rSWamyAYwuHCo7IFAgd1oRpSP7nzL7BF5t7ItqpKViM
    # 密钥
    key = "liuzhichao"
    
    string = b".".join([header_string, json_payload])
    
    # 签名
    sign = base64.urlsafe_b64encode(hmac.new(key.encode("utf-8"), string, hashlib.sha256).digest())
    
    print(sign)
    获取签名实现

    这一部分又叫做签名

    最后将这一部分签名也拼接在被签名的字符串后面,我们就得到了完整的JWT

    eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJpc3MiOiJKb2huIFd1IEpXVCIsImlhdCI6MTQ0MTU5MzUwMiwiZXhwIjoxNDQxNTk0NzIyLCJhdWQiOiJ3d3cuZXhhbXBsZS5jb20iLCJzdWIiOiJqcm9ja2V0QGV4YW1wbGUuY29tIiwiZnJvbV91c2VyIjoiQiIsInRhcmdldF91c2VyIjoiQSJ9.rSWamyAYwuHCo7IFAgd1oRpSP7nzL7BF5t7ItqpKViM

    于是,我们就可以将邮件中的URL改成

    https://www.xxx.com/make-friend/?jwt=eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJpc3MiOiJKb2huIFd1IEpXVCIsImlhdCI6MTQ0MTU5MzUwMiwiZXhwIjoxNDQxNTk0NzIyLCJhdWQiOiJ3d3cuZXhhbXBsZS5jb20iLCJzdWIiOiJqcm9ja2V0QGV4YW1wbGUuY29tIiwiZnJvbV91c2VyIjoiQiIsInRhcmdldF91c2VyIjoiQSJ9.rSWamyAYwuHCo7IFAgd1oRpSP7nzL7BF5t7ItqpKViM

    这样就可以安全地完成关注好友的操作了!

    且慢,这里大家思考下有什么问题没有:

    • 签名的目的是什么?
    • Base64是一种编码,是可逆的,那么信息不就被暴露了吗?

    签名的目的

    最后一步签名的过程,实际上是对头部以及载荷内容进行签名。一般而言,加密算法对于不同的输入产生的输出总是不一样的。对于两个不同的输入,产生同样的输出的概率极其地小(有可能比我成世界首富的概率还小)。所以,我们就把“不一样的输入产生不一样的输出”当做必然事件来看待吧。

    所以,如果有人对头部以及载荷的内容解码之后进行修改,再进行编码的话,那么新的头部和载荷的签名和之前的签名就将是不一样的。而且,如果不知道服务器加密的时候用的密钥的话,得出来的签名也一定会是不一样的。

    服务器应用在接受到JWT后,会首先对头部和载荷的内容用同一算法再次签名。那么服务器应用是怎么知道我们用的是哪一种算法呢?别忘了,我们在JWT的头部中已经用 alg字段指明了我们的加密算法了。

    如果服务器应用对头部和载荷再次以同样方法签名之后发现,自己计算出来的签名和接受到的签名不一样,那么就说明这个Token的内容被别人动过的,我们应该拒绝这个Token,返回一个HTTP 401 Unauthorized响应。

    信息会暴露?

    是的。

    所以,在JWT中,不应该在载荷里面加入任何敏感的数据。在上面的例子中,我们传输的是用户的User ID。这个值实际上不是什么敏感内容,一般情况下被知道也是安全的。

    但是像密码这样的内容就不能被放在JWT中了。如果将用户的密码放在了JWT中,那么怀有恶意的第三方通过Base64解码就能很快地知道你的密码了。

    认证

    import json
    import hmac
    import base64
    import hashlib
    
    # 获取到 `token`
    token = token.encode(settings.DEFAULT_CHARSET)
    
    signing_input, crypto_segment = token.rsplit(b'.', 1)
    header_segment, payload_segment = signing_input.split(b'.', 1)
    
    header_data = base64.urlsafe_b64decode(header_segment)
    header = json.loads(header_data.decode(settings.DEFAULT_CHARSET))
    
    payload = base64.urlsafe_b64decode(payload_segment)
    
    signature = base64.urlsafe_b64decode(crypto_segment)
    
    # return payload, signing_input, header, signature
    alg = header.get('alg')
    
    if not alg:
        print("没有算法")
        raise ValueError("alg is not null")
    
    key = settings.SECRET_KEY.encode(encoding=settings.DEFAULT_CHARSET)
    
    if hmac.compare_digest(signature, hmac.new(key, signing_input, hashlib.sha256).digest()):
        print("验证通过")
        print(payload)
    else:
        print("验证失败")
    Authorization

    拓展

    # 为什么进行签名校验?
    
    ```
    签名算法共同的特点是整个过程是不可逆的, 在 jwt 中,消息体是透明的,使用签名可以保证消息不被篡改。
    ```
    
    # jwt 支持续签么?
    
    ```
    不支持,一旦过期时间被修改,整个`jwt`串就变了
    ```
    View Code
  • 相关阅读:
    Quartz入门例子简介 从入门到菜鸟(一)
    初识Quartz之第一个Quartz实例
    @DisallowConcurrentExecution 注解的作用 【定时器执行完当前任务才开启下一个线程的方式】
    no identities are available for signing
    Unity3D研究院之在把代码混淆过的游戏返混淆回来
    安沃广告问题
    IOS 接ShareSDK问题
    网页中插入Flvplayer视频播放器代码
    unity Android 打包后读取 xml 文件
    unity3d 下操作excel 与打印
  • 原文地址:https://www.cnblogs.com/Majintao/p/10317015.html
Copyright © 2011-2022 走看看