JWT单点登录原理学习入门

2024/11/7 6:03:34

本文主要是介绍JWT单点登录原理学习入门，对大家解决编程问题具有一定的参考价值，需要的程序猿们随着小编来一起学习吧！

概述

JWT单点登录原理学习入门，介绍了JSON Web Token的基本概念和工作原理，详细阐述了如何通过JWT实现单点登录以及其实现步骤。文章还提供了示例代码和常见问题解决方案，帮助读者全面理解并应用JWT单点登录机制。

JWT简介

什么是JWT

JSON Web Token (JWT) 是一种开放标准 (RFC 7519)，用于在网络应用环境之间安全地传输信息。JWT的核心思想是将用户的身份信息和其他认证相关的数据进行编码并签名，然后发送给客户端，客户端在每次请求时携带这个令牌，服务端根据令牌中的信息进行认证。

JWT主要由三部分组成：

  1. 头部（Header）：通常包含令牌的类型和所使用的签名算法。
  2. 载荷（Payload）：包含了认证相关的声明，例如用户身份信息或其他自定义信息。
  3. 签名（Signature）：用于验证令牌的完整性和有效性。

JWT的工作原理

  1. 创建JWT：服务端根据用户的身份信息和其他认证相关数据生成JWT。
  2. 传输JWT：将生成的JWT返回给客户端，客户端可以将其存储在本地（例如：Local Storage、Session Storage或Cookie）。
  3. 验证JWT：在每次请求时，客户端将JWT发送给服务端，服务端对JWT进行验证，确保其未被篡改且有效。
  4. 访问资源：若JWT验证成功，服务端允许客户端访问请求的资源。
单点登录概述

什么是单点登录

单点登录（Single Sign-On，简称 SSO）是一种身份验证机制，允许用户使用一组凭证（如用户名和密码）登录多个相关但独立的应用系统。用户在单点登录系统中完成一次登录后，无需重新登录即可访问其他系统，从而提高用户体验和效率。

单点登录的好处

  1. 简化用户操作：用户只需记住一组凭证，无需为每个应用系统单独记忆和输入不同的凭证。
  2. 提升用户体验：减少用户在不同系统间切换时反复登录的繁琐过程。
  3. 集中管理：管理员只需在一个地方管理用户凭证，减轻了管理多套凭证的负担。
  4. 安全性增强：通过集中化的认证管理，可以更方便地进行安全策略的统一控制。
JWT与单点登录的关系

如何通过JWT实现单点登录

JWT可以作为单点登录的令牌，通过在多个系统之间共享JWT来实现用户身份的统一验证。具体步骤如下：

  1. 用户登录：用户在一个系统中使用用户名和密码进行登录，服务端验证凭证并生成JWT。
  2. 传递JWT：服务端将生成的JWT返回给用户，用户可以将其存储在客户端。
  3. 访问其他系统：用户尝试访问另一个系统时，向该系统发送JWT，服务端使用相同的密钥来验证JWT的有效性。
  4. 验证JWT：服务端验证JWT后，如果验证成功，即可认为用户已经通过了身份验证，允许用户访问该系统。

JWT在单点登录中的作用

  1. 身份验证：JWT携带了用户的身份信息，服务端通过JWT进行身份验证，确保用户已经登录。
  2. 数据传输：JWT包含了一些声明信息，可以用来传递用户权限、角色等信息。
  3. 安全性：JWT使用加密签名来保证数据的完整性和安全性。
实现JWT单点登录的步骤

创建JWT令牌

创建JWT令牌的过程包括生成头部、载荷和签名三部分。

  1. 生成头部：头部是一个JSON对象，通常包含令牌类型和所使用的签名算法。
{
  "alg": "HS256",
  "typ": "JWT"
}
  1. 生成载荷：载荷是一个JSON对象，包含了认证相关的声明。
{
  "sub": "1234567890",
  "name": "John Doe",
  "iat": 1516239022
}
  1. 生成签名：使用头部和载荷生成一个字符串，然后使用密钥进行签名。
import jwt

header = {
  "alg": "HS256",
  "typ": "JWT"
}
payload = {
  "sub": "1234567890",
  "name": "John Doe",
  "iat": 1516239022
}
secret = "your256bitssecret"

token = jwt.encode(payload, secret, algorithm='HS256')

验证JWT令牌

验证JWT令牌的过程包括解析头部、载荷和签名，并使用相同的密钥进行签名验证。

import jwt

try:
  decoded = jwt.decode(token, secret, algorithms=['HS256'])
  print(decoded)
except jwt.ExpiredSignatureError:
  print("Token expired")
except jwt.InvalidTokenError:
  print("Invalid token")

使用JWT令牌进行身份验证

使用JWT令牌进行身份验证的过程包括在每次请求时，客户端将JWT发送给服务端，服务端对JWT进行验证，确保其未被篡改且有效。

from flask import Flask, request

app = Flask(__name__)
secret = "your256bitssecret"

@app.route('/protected')
def protected():
    token = request.headers.get('Authorization')
    if not token:
        return "Error: No token provided", 401
    try:
        decoded = jwt.decode(token, secret, algorithms=['HS256'])
        return "Access granted", 200
    except jwt.ExpiredSignatureError:
        return "Error: Token expired", 401
    except jwt.InvalidTokenError:
        return "Error: Invalid token", 401

if __name__ == '__main__':
    app.run()
JWT单点登录的示例代码

示例代码解释

以下是一个完整的JWT单点登录示例代码，包括用户登录、创建JWT、验证JWT和使用JWT进行身份验证。

用户登录

用户登录时，服务端验证用户名和密码，并生成JWT，返回给客户端。

from flask import Flask, request, jsonify
import jwt

app = Flask(__name__)
secret = "your256bitssecret"

@app.route('/login', methods=['POST'])
def login():
    data = request.get_json()
    username = data.get('username')
    password = data.get('password')
    # 验证用户名和密码（这里仅做示例，实际应用中应验证数据库中的用户信息）
    if username == 'admin' and password == 'password':
        payload = {
          "sub": "1234567890",
          "name": "John Doe",
          "iat": 1516239022
        }
        token = jwt.encode(payload, secret, algorithm='HS256')
        return jsonify({"token": token}), 200
    else:
        return "Error: Invalid username or password", 401

@app.route('/protected')
def protected():
    token = request.headers.get('Authorization')
    if not token:
        return "Error: No token provided", 401
    try:
        decoded = jwt.decode(token, secret, algorithms=['HS256'])
        return "Access granted", 200
    except jwt.ExpiredSignatureError:
        return "Error: Token expired", 401
    except jwt.InvalidTokenError:
        return "Error: Invalid token", 401

if __name__ == '__main__':
    app.run()

创建JWT

用户登录成功后，服务端生成JWT并返回给客户端。

from flask import Flask, request, jsonify
import jwt

app = Flask(__name__)
secret = "your256bitssecret"

@app.route('/login', methods=['POST'])
def login():
    data = request.get_json()
    username = data.get('username')
    password = data.get('password')
    # 验证用户名和密码（这里仅做示例，实际应用中应验证数据库中的用户信息）
    if username == 'admin' and password == 'password':
        payload = {
          "sub": "1234567890",
          "name": "John Doe",
          "iat": 1516239022
        }
        token = jwt.encode(payload, secret, algorithm='HS256')
        return jsonify({"token": token}), 200
    else:
        return "Error: Invalid username or password", 401

@app.route('/protected')
def protected():
    token = request.headers.get('Authorization')
    if not token:
        return "Error: No token provided", 401
    try:
        decoded = jwt.decode(token, secret, algorithms=['HS256'])
        return "Access granted", 200
    except jwt.ExpiredSignatureError:
        return "Error: Token expired", 401
    except jwt.InvalidTokenError:
        return "Error: Invalid token", 401

if __name__ == '__main__':
    app.run()

验证JWT

在每次请求受保护资源时，客户端需要携带JWT，服务端对JWT进行验证。

from flask import Flask, request, jsonify
import jwt

app = Flask(__name__)
secret = "your256bitssecret"

@app.route('/login', methods=['POST'])
def login():
    data = request.get_json()
    username = data.get('username')
    password = data.get('password')
    # 验证用户名和密码（这里仅做示例，实际应用中应验证数据库中的用户信息）
    if username == 'admin' and password == 'password':
        payload = {
          "sub": "1234567890",
          "name": "John Doe",
          "iat": 1516239022
        }
        token = jwt.encode(payload, secret, algorithm='HS256')
        return jsonify({"token": token}), 200
    else:
        return "Error: Invalid username or password", 401

@app.route('/protected')
def protected():
    token = request.headers.get('Authorization')
    if not token:
        return "Error: No token provided", 401
    try:
        decoded = jwt.decode(token, secret, algorithms=['HS256'])
        return "Access granted", 200
    except jwt.ExpiredSignatureError:
        return "Error: Token expired", 401
    except jwt.InvalidTokenError:
        return "Error: Invalid token", 401

if __name__ == '__main__':
    app.run()

运行和测试代码

  1. 启动服务

    python app.py

  2. 用户登录

    使用Postman或curl进行登录请求。

    curl -X POST http://127.0.0.1:5000/login -H "Content-Type: application/json" -d '{"username":"admin","password":"password"}'

    返回结果如下：

    {
 "token": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkiLCJuYW1lIjoibG9uZS5ibGUiLCJpYXQiOjE1MTYyMzkwMjJ9.917aF2FvWps30rGjK164lNpIDZi1yL00aJ6gQ6x2Z0I"
}

  3. 访问受保护资源

    使用Postman或curl访问受保护资源，携带JWT令牌作为请求头。

    curl -X GET http://127.0.0.1:5000/protected -H "Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkiLCJuYW1lIjoibG9uZS5ibGUiLCJpYXQiOjE1MTYyMzkwMjJ9.917aF2FvWps30rGjK164lNpIDZi1yL00aJ6gQ6x2Z0I"

    返回结果如下：

    "Access granted"
常见问题及解决方法

常见问题汇总

  1. JWT令牌过期：用户登录后，JWT令牌有时效性，过期后需要重新登录。
  2. JWT令牌丢失：客户端必须保存JWT令牌，如果丢失，则需要重新登录。
  3. JWT令牌篡改：如果使用相同的密钥进行签名，篡改后的JWT令牌无法通过验证。
  4. JWT令牌泄露：如果JWT令牌泄露，他人可以冒充用户身份访问资源。
  5. JWT令牌大小限制：虽然JWT是紧凑的，但在某些情况下，过长的载荷可能导致问题。

常见问题解决方案

  1. JWT令牌过期：

    • 设置合理的过期时间，例如24小时。
    • 使用刷新令牌（refresh token）机制，用户在JWT过期后可以请求一个新的JWT。

  2. JWT令牌丢失：

    • 通过前端代码确保JWT令牌的安全存储，例如使用LocalStorage或SessionStorage。
    • 提供一个简单的接口，允许用户重新获取JWT令牌。

  3. JWT令牌篡改：

    • 使用HMAC算法（例如HS256）进行签名，确保只有持有密钥的服务器能够生成有效的JWT。
    • 在应用程序中使用严格的JWT验证逻辑，确保JWT的完整性和有效性。

  4. JWT令牌泄露：

    • 使用HTTPS协议传输JWT令牌，防止中间人攻击。
    • 定期密钥轮换，即定期更换用于生成和验证JWT的密钥。
  5. JWT令牌大小限制：
    • 尽量减少载荷中的数据量，仅包含必要的信息。
    • 如果需要传输大量数据，可以使用JWT作为会话标识符，将数据存储在服务端，并通过JWT进行标识。

通过以上步骤和示例代码，您可以更好地理解和实现JWT单点登录机制。希望这篇文章能帮助您掌握JWT单点登录的原理和实践方法。



这篇关于JWT单点登录原理学习入门的文章就介绍到这儿，希望我们推荐的文章对大家有所帮助，也希望大家多多支持为之网！


相关编程文章

更多>
本站官方QQ
官方QQ:
23002807

沪ICP备2023033072号-1

     

扫一扫关注最新编程教程