Golang 之 JWT 實現

什麼是 JSON Web Token？

JSON Web Token（JWT）是一個開放標準（RFC 7519），它定義了一種緊湊且自包含的方式，用於在各方之間以 JSON 方式安全地傳輸信息。由於此信息是經過數字簽名的，因此可以被驗證和信任。可以使用祕密（使用 ** HMAC 算法）或使用 RSA 或 ECDSA 的公鑰 / 私鑰對對 JWT 進行簽名 **。

直白的講 jwt 就是一種用戶認證（區別於 session、cookie）的解決方案。

出現的背景

衆所周知，在 jwt 出現之前，我們已經有 session、cookie 來解決用戶登錄等認證問題，爲什麼還要 jwt 呢？

這裏我們先了解一下 session，cookie。

session

熟悉 session 運行機制的同學都知道，用戶的 session 數據以 file 或緩存（redis、memcached）等方式存儲在服務器端，客戶端瀏覽器 cookie 中只保存 sessionid。服務器端 session 屬於集中存儲，數量不大的情況下，沒什麼問題，當用戶數據逐漸增多到一程度，就會給服務端管理和維護帶來大的負擔。

session 有兩個弊端：

1、無法實現跨域。

2、由於 session 數據屬於集中管理裏，量大的時候服務器性能是個問題。

優點：

1、session 存在服務端，數據相對比較安全。

2、session 集中管理也有好處，就是用戶登錄、註銷服務端可控。

cookie 也是一種解決網站用戶認證的實現方式，用戶登錄時，服務器會發送包含登錄憑據的 Cookie 到用戶瀏覽器客戶端，瀏覽器會將 Cookie 的 key/value 保存用戶本地（內存或硬盤），用戶再訪問網站，瀏覽器會發送 cookie 信息到服務器端，服務器端接收 cookie 並解析來維護用戶的登錄狀態。

cookie 避免 session 集中管理的問題，但也存在弊端：

1、跨域問題。

2、數據存儲在瀏覽器端，數據容易被竊取及被 csrf 攻擊，安全性差。

優點：

1、相對於 session 簡單，不用服務端維護用戶認證信息。

2、數據持久性。

jwt

jwt 通過 json 傳輸，php、java、golang 等很多語言支持，通用性比較好，不存在跨域問題。傳輸數據通過數據簽名相對比較安全。客戶端與服務端通過 jwt 交互，服務端通過解密 token 信息，來實現用戶認證。不需要服務端集中維護 token 信息，便於擴展。當然 jwt 也有其缺點。

缺點：

1、用戶無法主動登出，只要 token 在有效期內就有效。這裏可以考慮 redis 設置同 token 有效期一直的黑名單解決此問題。

2、token 過了有效期，無法續簽問題。可以考慮通過判斷舊的 token 什麼時候到期，過期的時候刷新 token 續簽接口產生新 token 代替舊 token。

jwt 設置有效期

可以設置有效期，加入有效期是爲了增加安全性，即 token 被黑客截獲，也只能攻擊較短時間。設置有效期就會面臨 token 續簽問題，解決方案如下

通常服務端設置兩個 token

jwt 構成：

jwt 使用

這裏推薦個使用比較多的開源項目、github.com/dgrijalva/jwt-go，更多文檔。

示例：

package main

import (
    "fmt"
    "github.com/dgrijalva/jwt-go"
    "time"
)
const (
    SECRETKEY = "243223ffslsfsldfl412fdsfsdf"//私鑰
)
//自定義 Claims
type CustomClaims struct {
    UserId int64
    jwt.StandardClaims
}
func main() {
    //生成 token
    maxAge:=60*60*24
    customClaims :=&CustomClaims{
        UserId: 11,//用戶 id
        StandardClaims: jwt.StandardClaims{
            ExpiresAt: time.Now().Add(time.Duration(maxAge)*time.Second).Unix(), // 過期時間，必須設置
            Issuer:"jerry",   // 非必須，也可以填充用戶名，
        },
    }
    //採用 HMAC SHA256 加密算法
    token:=jwt.NewWithClaims(jwt.SigningMethodHS256, customClaims)
    tokenString,err:= token.SignedString([]byte(SECRETKEY))
    if err!=nil {
        fmt.Println(err)
    }
    fmt.Printf("token: %v\n", tokenString)

    //解析 token
    ret,err :=ParseToken(tokenString)
    if err!=nil {
        fmt.Println(err)
    }
    fmt.Printf("userinfo: %v\n", ret)
}

//解析 token
func ParseToken(tokenString string)(*CustomClaims,error)  {
    token, err := jwt.ParseWithClaims(tokenString, &CustomClaims{}, func(token *jwt.Token) (interface{}, error) {
        if _, ok := token.Method.(*jwt.SigningMethodHMAC); !ok {
            return nil, fmt.Errorf("Unexpected signing method: %v", token.Header["alg"])
        }
        return []byte(SECRETKEY), nil
    })
    if claims, ok := token.Claims.(*CustomClaims); ok && token.Valid {
        return claims,nil
    } else {
        return nil,err
    }
}

運行結果：

token: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJVc2VySWQiOjExLCJleHAiOjE1OTA5MTk1NDAsImlzcyI6ImplcnJ5In0.FppmbbHRrS4wd5wen73vYPOvtzycOrn2JZlK6JRjEGk
userinfo: &{11 { 1590919540 0 jerry 0}}

Claims

Audience string `json:"aud,omitempty"`  
ExpiresAt int64 `json:"exp,omitempty"`  
Id string `json:"jti,omitempty"` 
IssuedAt int64 `json:"iat,omitempty"`  
Issuer string `json:"iss,omitempty"`  
NotBefore int64 `json:"nbf,omitempty"`  
Subject string `json:"sub,omitempty"`

aud: 接收 jwt 的一方
exp: jwt 的過期時間，這個過期時間必須要大於簽發時間
jti: jwt 的唯一身份標識，主要用來作爲一次性 token, 從而回避重放攻擊。
iat: jwt 的簽發時間
iss: jwt 簽發者
nbf: 定義在什麼時間之前，該 jwt 都是不可用的。就是這條 token 信息生效時間。這個值可以不設置，但是設定後，一定要大於當前 Unix UTC, 否則 token 將會延遲生效。
sub: jwt 所面向的用戶

以上用到了 CustomClaims，也可以用簡單的方法

示例

package main

import (
    "fmt"
    "github.com/dgrijalva/jwt-go"
    "time"
)
const (
    SECRETKEY = "243223ffslsfsldfl412fdsfsdf"//私鑰
)
//自定義 Claims
type CustomClaims struct {
    UserId int64
    jwt.StandardClaims
}
func main() {
    //生成 token
    maxAge:=60*60*24
    // Create the Claims
    //claims := &jwt.StandardClaims{
    //    //    ExpiresAt: time.Now().Add(time.Duration(maxAge)*time.Second).Unix(), // 過期時間，必須設置，
    //    //    Issuer:    "jerry",// 非必須，也可以填充用戶名，
    //    //}

    //或者用下面自定義 claim
    claims := jwt.MapClaims{
        "id":       11,
        "name":       "jerry",
        "exp": time.Now().Add(time.Duration(maxAge)*time.Second).Unix(), // 過期時間，必須設置，
    }

    token := jwt.NewWithClaims(jwt.SigningMethodHS256, claims)
    tokenString, err := token.SignedString([]byte(SECRETKEY))
    if err!=nil {
        fmt.Println(err)
    }
    fmt.Printf("token: %v\n", tokenString)

    //解析 token
    ret,err :=ParseToken(tokenString)
    if err!=nil {
        fmt.Println(err)
    }
    fmt.Printf("userinfo: %v\n", ret)
}

//解析 token
func ParseToken(tokenString string)(jwt.MapClaims,error)  {
    token, err := jwt.Parse(tokenString, func(token *jwt.Token) (interface{}, error) {
        // Don't forget to validate the alg is what you expect:
        if _, ok := token.Method.(*jwt.SigningMethodHMAC); !ok {
            return nil, fmt.Errorf("Unexpected signing method: %v", token.Header["alg"])
        }

        // hmacSampleSecret is a []byte containing your secret, e.g. []byte("my_secret_key")
        return []byte(SECRETKEY), nil
    })
    if claims, ok := token.Claims.(jwt.MapClaims); ok && token.Valid {
        return claims,nil
    } else {
        return nil,err
    }
}

運行結果類似

token: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJleHAiOjE1OTA5MzUzMDUsImlkIjoxMSwibmFtZSI6ImplcnJ5In0.fapE0IiOEe_TqoMCThbNTHUvgWiHPEk0rm-9uPIcvPU
userinfo: map[exp:1.590935305e+09 id:11 name:jerry]

小結：

本文由 Readfog 進行 AMP 轉碼，版權歸原作者所有。
來源：https://mp.weixin.qq.com/s/1nVdkD8DtqfCT9YQkTFpXw

猜你喜歡