【web】JWT（Json web token）的原理、签发、验证

系统管理员 2022-11-20 06:58 316阅读 0赞

#### 1.JWT ####

JWT（Json web token）是为了在网络应用环境间传递声明而执行的一种基于JSON的开放标准。该token被设计为紧凑且安全的，特别适用于分布式站点的单点登录（SSO）场景

http协议本身是一种无状态的协议，而这就意味着如果用户向我们的应用提供了用户名和密码来进行用户认证。后来出现了cookie和session，传统的session认证虽然安全，但是本身很难得到扩展，不方便在多台服务器认证，一般会增大开销，而且还可能会造成CSRF攻击

而token认证机制不需要考虑用户在哪一台服务器登录，只要携带可以被认证的token即可访问多台服务器

**流程如下：**  
1）用户使用用户名密码来请求服务器  
2）服务器进行验证用户的信息  
3）服务器通过验证发送给用户一个token  
4）客户端存储token，并在每次请求时附送上这个token值  
5）服务端验证token值，并返回数据

**优点**  
1）JWT是可以进行跨语言支持的，大多数语言都能实现  
2）JWT可以存储一些其他业务逻辑所必要的非敏感信息  
3）JWT构成非常简单，字节占用很小，所以非常便于传输  
4）它不需要在服务端保存会话信息, 所以它易于应用的扩展

**注意点**  
1）因为payload部分可解密，所以不要放敏感信息  
2）一定要保护好秘钥，有了秘钥就能自由签发JWT

#### 2.JWT的组成 ####

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM5MTQ3Mjk5_size_16_color_FFFFFF_t_70_pic_center]

jwt是由三段文本通过点连接组成的，例如

eyJ0eXAiOiJXXXXXXX.eyJzdWIiOjXXXXXXX.TJVA95OrMcBXXXXXXXX

由两个小数点分隔开的三个部分分别叫做`header、payload、signature`

##### 2.1 header #####

头部（header）又包含类型和算法两个键值，再经过base64加密即可

header = { 
        'typ': 'JWT',
        'alg': 'HS256'
    }
    header = json.dumps(header)  # 把字典dump成一个字符串json
    header = base64.b64encode(header.encode()).decode()
    print("header", header)
    # 打印：header eyJ0eXAiOiAiSldUIiwgImFsZyI6ICJIUzI1NiJ9

##### 2.2 payload #####

载荷（payload）一般用来存储用户信息，但是注意，这个是base64编码，所以可以解码，不要存储敏感信息

payload = { 
        'user_id': 25,
        'username': 'pan'
    }
    payload = json.dumps(payload)
    payload = base64.b64encode(payload.encode()).decode()
    print("payload:", payload)
    # 打印：payload: eyJ1c2VyX2lkIjogMjUsICJ1c2VybmFtZSI6ICJwYW4ifQ==

##### 2.3 signature #####

签名（signature）是根据前面经过base64编码的header、payload经过哈希算法加密得到的。注意，秘钥非常重要，不能泄露，泄露了，就意味着客户端可以自我签发jwt了

SECRET_KEY = 'sfjoprenpxgyher245asdfdsa'
    message = header + "." + payload
    h_obj = hmac.new(
        key=SECRET_KEY.encode(),
        msg=message.encode(),
        digestmod=hashlib.sha256
    )
    signature = h_obj.hexdigest()
    print("signature", signature)

#### 3.JWT验证 ####

jwt的签发和和验证都是由服务器完成的，所以秘钥保存在服务器端。验证步骤与签发步骤相反，一定要使用同一个秘钥

token = 前端传来的jwt
    SECRET_KEY = 'sfjoprenpxgyher245asdfdsa'
    old_header = token.split(".")[0]
    old_payload = token.split(".")[1]
    old_signature = token.split(".")[2]
    
    message = old_header + "." + old_payload
    h_obj = hmac.new(
        key=SECRET_KEY.encode(),
        msg=message.encode(),
        digestmod=hashlib.sha256
    )
    signature = h_obj.hexdigest()
    if signature != old_signature:
        print("验证失败")
    else:
        print("验证成功")
        user_json = base64.b64decode(old_payload.encode()).decode()
        print(json.loads(user_json))

以上的演示是用python代码写的，实际上不管哪种语言都能实现。而且，一般框架都会集成JWT模块，不需要手动实现

#### 4.pyjwt ####

如果使用python，我们可以直接使用pyjwt模块实现jwt的签发与验证

pip install pyjwt

from datetime import datetime, timedelta
    import jwt
    from jwt import PyJWTError
    import os, base64
    
    payload = {   # jwt设置有效期的本质: 在内容中设置exp字段, 值要求为格林尼治时间
        "user_id": 22,
        'exp': datetime.utcnow() + timedelta(seconds=30)
    }
    
    # 生成随机字符串, 可当做秘钥
    # randowm_str = base64.b64encode(os.urandom(40)).decode()
    
    # 秘钥
    key = 'N1UzXOFKJRZk5cslhMDcbqHZ0lKvCAyL85fufewVmUF9bGPAlAXw9w=='
    
    # 生成签名
    token = jwt.encode(payload, key=key, algorithm='HS256')
    # print(token)
    
    # 验签 pyjwt自动校验过期
    # token = b'eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJ1c2VyX2lkIjoyMiwiZXhwIjoxNTcwNjc3NjUzfQ.6scDFsiQwTH4gjyunGvVYW5jX40eLprevvN_I0Yw6GU'
    try:
        data = jwt.decode(token, key=key, algorithms='HS256')  # 取出的是数据内容
        print(data)
    except PyJWTError as e:
        print('验签失败: %s' % e)

#### 5.djangorestframework-jwt ####

我们在Django项目中也可以直接使用jwt

##### 5.1 安装 #####

pip install djangorestframework-jwt

##### 5.2 配置 #####

settings.py

REST_FRAMEWORK = { 
        'DEFAULT_AUTHENTICATION_CLASSES': (
            'rest_framework_jwt.authentication.JSONWebTokenAuthentication',
            'rest_framework.authentication.SessionAuthentication',
            'rest_framework.authentication.BasicAuthentication',
        ),
    }
    
    JWT_AUTH = { 
        'JWT_EXPIRATION_DELTA': datetime.timedelta(days=1),  # 指明token的有效期
    }

##### 5.3 登录签发JWT的视图 #####

Django REST framework JWT提供了登录签发JWT的视图，可以直接使用

urls.py

from rest_framework_jwt.views import obtain_jwt_token
    
    urlpatterns = [
        url(r'^authorizations/$', obtain_jwt_token),
    ]

##### 5.4 自定义返回数据 #####

默认的返回值仅有token，我们还需在返回值中增加username和user\_id

users/utils/.py

def jwt_response_payload_handler(token, user=None, request=None):
        """ 自定义jwt认证成功返回数据 """
        return { 
            'token': token,
            'id': user.id,
            'username': user.username
        }

修改配置文件

settings.py

# JWT配置
    JWT_AUTH = { 
        'JWT_EXPIRATION_DELTA': datetime.timedelta(days=1),
        'JWT_RESPONSE_PAYLOAD_HANDLER': 'meiduo_admin.utils.jwt_response.jwt_response_payload_handler',
    }

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM5MTQ3Mjk5_size_16_color_FFFFFF_t_70_pic_center]: /images/20221120/60f828e482fd40268cb7624980e84cca.png