# 使用NodeJS实现JWT原理

jwt是json web token的简称，本文介绍它的原理，最后后端用nodejs自己实现如何为客户端生成令牌token和校验token

# 1.为什么需要会话管理

http协议他是一个无状态的协议，有时候我们需要根据这个请求的上下获取具体的用户是否有权限，针对用户的上下文进行操作。所以出现了cookies session还有jwt这几种技术的出现，都是对HTTP协议的一个补充。使得我们可以用HTTP协议+状态管理构建一个的面向用户的WEB应用。

# 2.session和cookies

session和cookies是有联系的，session就是服务端在客户端cookies种下的session_id, 服务端保存session_id所对应的当前用户所有的状态信息。每次客户端请求服务端都带上cookies中的session_id, 服务端判断是否有具体的用户信息，如果没有就去调整登录。

TIP

简单说就是，服务端下发session_id，并将该id对应的用户信息保存到服务端，并且把session_id 下发到客户端的cookie中，客户端每次都会带该session_id访问服务端，服务端根据session_id维持会话状态。

WARNING

cookies安全性不好，攻击者可以通过获取本地cookies进行欺骗或者利用cookies进行CSRF攻击。
cookies在多个域名下，会存在跨域问题
session的信息是保存在服务端上面的，当我们node.js服务部署多台机器的时候，需要解决共享session，所以引出来session持久化问题，所以session不支持分布式架构，无法支持横向扩展，只能通过数据库来保存会话数据实现共享。如果持久层失败会出现认证失败。

# 3.jwt的定义

jwt是json web token的全称，他解决了session以上的问题，优点是服务器不保存任何会话数据，即服务器变为无状态，使其更容易扩展，什么情况下使用jwt比较合适，我觉得就是授权这个场景，因为jwt使用起来轻便，开销小，后端无状态，所以使用比较广泛。

# 4.jwt的原理

JWT 的原理是，服务器认证以后，生成一个 JSON 对象，发回给用户。用户以后与服务端通信的时候，都要发回这个 JSON 对象。服务器完全只靠这个对象认定用户身份。为了防止用户篡改数据，服务器在生成这个对象的时候，会加上签名。

# 5.jwt的认证流程

用户发起登录请求
服务端根据用户名密码查询用户信息，查询成功后根据算法，生成jwt
服务端返回jwt给客户端
客户端再次调用获取用户信息接口，把刚拿到的jwt放到header中发送给服务端
服务端根据客户端发送的jwt，再次签名，验证身份
服务器返回该用户资料
服务端判断token过期，过期了就让客户端重新验证

# 6.jwt的数据结构

Header头部,{ "alg": "HS256", "typ": "JWT"}
Payload 负载、载荷，JWT 规定了7个官方字段

iss (issuer)：签发人
exp (expiration time)：过期时间
sub (subject)：主题
aud (audience)：受众
nbf (Not Before)：生效时间
iat (Issued At)：签发时间
jti (JWT ID)：编号

1
2
3
4
5
6
7

sign ,Signature 签名.对前两部分header和payload进行签名，防止数据篡改

HMACSHA256(
  base64UrlEncode(header) + "." +
  base64UrlEncode(payload),
  secret)

1
2
3
4

# 7.jwt使用方式

请求头携带，一般为 Authorization: Bearer token

# 8.原理的实现

sha256哈希算法，可以用nodejs的内置加密模块crypto, 生成base64字符串，要注意的是生成base64需要为+ - = 做一下替换，=被省略、+替换成-，/替换成_ 。这就是 Base64URL 算法。
token令牌的组成是header, payload和sigin的通过.来组成
base64urlUnescape的解码是固定写法，decode出base64的内容

let myJwt = {
    sign(content,secret){
        let r = crypto.createHmac('sha256',secret).update(content).digest('base64');
        return this.base64urlEscape(r)
    },
    base64urlEscape(str){
        return str.replace(/\+/g, '-').replace(/\//g, '_').replace(/=/g, '');
    },
    toBase64(content){
        return this.base64urlEscape(Buffer.from(JSON.stringify(content)).toString('base64'))
    },
    encode(username,secret){
        let header = this.toBase64({ typ: 'JWT', alg: 'HS256' });
        let content = this.toBase64(username);
        let sign = this.sign([header,content].join('.'),secret);
        return  [header,content,sign].join('.')
    },
    base64urlUnescape(str) {
        str += new Array(5 - str.length % 4).join('=');
        return str.replace(/\-/g, '+').replace(/_/g, '/');
    },
    decode(token,secret){
        let [header,content,sign] = token.split('.');
        let newSign = this.sign([header,content].join('.'),secret);
        if(sign === newSign){
            return Buffer.from(this.base64urlUnescape(content),'base64').toString();
        }else{
            throw new Error('被篡改')
        }
    }
}

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31

# 9.jwt的优缺点

JWT不仅可用于认证，还可用于信息交换。善用JWT有助于减少服务器请求数据库的次数
JWT的最大缺点是服务器不保存会话状态，所以在使用期间不可能取消令牌或更改令牌的权限。也就是说，一旦JWT签发，在有效期内将会一直有效
JWT本身包含认证信息，因此一旦信息泄露，任何人都可以获得令牌的所有权限。为了减少盗用，JWT的有效期不宜设置太长。对于某些重要操作，用户在使用时应该每次都进行进行身份验证。
为了减少盗用和窃取，JWT不建议使用HTTP协议来传输代码，而是使用加密的HTTPS协议进行传输。

← Node.js 在微医的应用场景及实践 Node 七天学会公众号开发 →