2. 程式人生 > >一起來學SpringCloud之

一起來學SpringCloud之

阿新 • • 發佈：2019-01-08

上一篇已經講了微服務元件中的 路由閘道器（Zuul），但是未介紹服務認證相關，本章主要講解基於Spring Security 與 JJWT 實現 JWT（JSON Web Token）為介面做授權處理…

- JWT

JWT（JSON Web Token）, 是為了在網路應用環境間傳遞宣告而執行的一種基於JSON的開放標準（(RFC 7519).該token被設計為緊湊且安全的，特別適用於分散式站點的單點登入（SSO）場景。JWT的宣告一般被用來在身份提供者和服務提供者間傳遞被認證的使用者身份資訊，以便於從資源伺服器獲取資源，也可以增加一些額外的其它業務邏輯所必須的宣告資訊，該token也可直接被用於認證，也可被加密。

- JWT與其它的區別

通常情況下，把API直接暴露出去是風險很大的，不說別的，直接被機器攻擊就喝一壺的。那麼一般來說，對API要劃分出一定的許可權級別，然後做一個使用者的鑑權，依據鑑權結果給予使用者開放對應的API。目前，比較主流的方案有幾種:

OAuth

OAuth（開放授權）是一個開放的授權標準，允許使用者讓第三方應用訪問該使用者在某一服務上儲存的私密的資源（如照片，視訊），而無需將使用者名稱和密碼提供給第三方應用。

OAuth 允許使用者提供一個令牌，而不是使用者名稱和密碼來訪問他們存放在特定服務提供者的資料。每一個令牌授權一個特定的第三方系統（例如，視訊編輯網站)在特定的時段（例如，接下來的2小時內）內訪問特定的資源（例如僅僅是某一相簿中的視訊）。這樣，OAuth讓使用者可以授權第三方網站訪問他們儲存在另外服務提供者的某些特定資訊，而非所有內容

Cookie/Session Auth

Cookie認證機制就是為一次請求認證在服務端建立一個Session物件，同時在客戶端的瀏覽器端建立了一個Cookie物件；通過客戶端帶上來Cookie物件來與伺服器端的session物件匹配來實現狀態管理的。預設的，當我們關閉瀏覽器的時候，cookie會被刪除。但可以通過修改cookie 的expire time使cookie在一定時間內有效，基於session方式認證勢必會對伺服器造成一定的壓力（記憶體儲存），不易於擴充套件（需要處理分散式session），跨站請求偽造的攻擊（CSRF）

- JWT的優點

1.相比於session，它無需儲存在伺服器，不佔用伺服器記憶體開銷。

2.無狀態、可拓展性強：比如有3臺機器（A、B、C）組成伺服器叢集，若session存在機器A上，session只能儲存在其中一臺伺服器，此時你便不能訪問機器B、C，因為B、C上沒有存放該Session，而使用token就能夠驗證使用者請求合法性，並且我再加幾臺機器也沒事，所以可拓展性好就是這個意思。

3.前後端分離，支援跨域訪問。

- JWT的組成

{ "iss": "JWT Builder", 
  "iat": 1416797419, 
  "exp": 1448333419, 
  "aud": "www.battcn.com", 
  "sub": "[email protected]", 
  "GivenName": "Levin", 
  "Surname": "Levin", 
  "Email": "[email protected]", 
  "Role": [ "ADMIN", "MEMBER" ] 
}
  • iss: 該JWT的簽發者，是否使用是可選的；
  • sub: 該JWT所面向的使用者，是否使用是可選的；
  • aud: 接收該JWT的一方，是否使用是可選的；
  • exp(expires): 什麼時候過期，這裡是一個Unix時間戳，是否使用是可選的；
  • iat(issued at): 在什麼時候簽發的(UNIX時間)，是否使用是可選的；
  • nbf (Not Before)：如果當前時間在nbf裡的時間之前，則Token不被接受；一般都會留一些餘地，比如幾分鐘；，是否使用是可選的；

JWT生成器

一個JWT實際上就是一個字串，它由三部分組成，頭部、載荷、簽名（上圖依次排序）

- 認證

互動圖

- 登陸認證

  • 客戶端傳送 POST 請求到伺服器，提交登入處理的Controller層
  • 呼叫認證服務進行使用者名稱密碼認證，如果認證通過，返回完整的使用者資訊及對應許可權資訊
  • 利用 JJWT 對使用者、許可權資訊、祕鑰構建Token
  • 返回構建好的Token

構建結果

- 請求認證

  • 客戶端向伺服器請求，服務端讀取請求頭資訊(request.header)獲取Token
  • 如果找到Token資訊，則根據配置檔案中的簽名加密祕鑰，呼叫JJWT Lib對Token資訊進行解密和解碼；
  • 完成解碼並驗證簽名通過後，對Token中的exp、nbf、aud等資訊進行驗證；
  • 全部通過後，根據獲取的使用者的角色許可權資訊，進行對請求的資源的許可權邏輯判斷；
  • 如果許可權邏輯判斷通過則通過Response物件返回；否則則返回HTTP 401；

無效Token

無效Token

有效Token

有效Token請求

- JWT的缺點

有優點就會有缺點，是否適用應該考慮清楚，而不是技術跟風

  • token過大容易佔用更多的空間
  • token中不應該儲存敏感資訊
  • JWT不是 session ，勿將token當session
  • 無法作廢已頒佈的令牌，因為所有的認證資訊都在JWT中，由於在服務端沒有狀態，即使你知道了某個JWT被盜取了，你也沒有辦法將其作廢。在JWT過期之前（你絕對應該設定過期時間），你無能為力。
  • 類似快取，由於無法作廢已頒佈的令牌，在其過期前，你只能忍受”過期”的資料（自己放出去的token，含著淚也要用到底）。

- 程式碼（片段）

TokenProperties 與 application.yml資源的key對映，方便使用

@Configuration
@ConfigurationProperties(prefix = "battcn.security.token")
public class TokenProperties {
    /**
     * {@link com.battcn.security.model.token.Token} token的過期時間
     */
    private Integer expirationTime;

    /**
     * 發行人
     */
    private String issuer;

    /**
     * 使用的簽名KEY {@link com.battcn.security.model.token.Token}.
     */
    private String signingKey;

    /**
     * {@link com.battcn.security.model.token.Token} 重新整理過期時間
     */
    private Integer refreshExpTime;

    // get set ...
}

Token生成的類

@Component
public class TokenFactory {

    private final TokenProperties properties;

    @Autowired
    public TokenFactory(TokenProperties properties) {
        this.properties = properties;
    }

    /**
     * 利用JJWT 生成 Token
     * @param context
     * @return
     */
    public AccessToken createAccessToken(UserContext context) {
        Optional.ofNullable(context.getUsername()).orElseThrow(()-> new IllegalArgumentException("Cannot create Token without username"));
        Optional.ofNullable(context.getAuthorities()).orElseThrow(()-> new IllegalArgumentException("User doesn't have any privileges"));
        Claims claims = Jwts.claims().setSubject(context.getUsername());
        claims.put("scopes", context.getAuthorities().stream().map(Object::toString).collect(toList()));
        LocalDateTime currentTime = LocalDateTime.now();
        String token = Jwts.builder()
          .setClaims(claims)
          .setIssuer(properties.getIssuer())
          .setIssuedAt(Date.from(currentTime.atZone(ZoneId.systemDefault()).toInstant()))
          .setExpiration(Date.from(currentTime
              .plusMinutes(properties.getExpirationTime())
              .atZone(ZoneId.systemDefault()).toInstant()))
          .signWith(SignatureAlgorithm.HS512, properties.getSigningKey())
        .compact();
        return new AccessToken(token, claims);
    }

    /**
     * 生成 重新整理 RefreshToken
     * @param userContext
     * @return
     */
    public Token createRefreshToken(UserContext userContext) {
        if (StringUtils.isBlank(userContext.getUsername())) {
            throw new IllegalArgumentException("Cannot create Token without username");
        }
        LocalDateTime currentTime = LocalDateTime.now();
        Claims claims = Jwts.claims().setSubject(userContext.getUsername());
        claims.put("scopes", Arrays.asList(Scopes.REFRESH_TOKEN.authority()));
        String token = Jwts.builder()
          .setClaims(claims)
          .setIssuer(properties.getIssuer())
          .setId(UUID.randomUUID().toString())
          .setIssuedAt(Date.from(currentTime.atZone(ZoneId.systemDefault()).toInstant()))
          .setExpiration(Date.from(currentTime
              .plusMinutes(properties.getRefreshExpTime())
              .atZone(ZoneId.systemDefault()).toInstant()))
          .signWith(SignatureAlgorithm.HS512, properties.getSigningKey())
        .compact();

        return new AccessToken(token, claims);
    }
}

配置檔案，含token過期時間，祕鑰，可自行擴充套件

battcn:
  security:
    token:
      expiration-time: 10 # 分鐘 1440
      refresh-exp-time: 30 # 分鐘 2880
      issuer: http://blog.battcn.com
      signing-key: battcn

WebSecurityConfig 是 Spring Security 關鍵配置，在Securrty中基本上可以通過定義過濾器去實現我們想要的功能.

@Configuration
@EnableWebSecurity
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    public static final String TOKEN_HEADER_PARAM = "X-Authorization";
    public static final String FORM_BASED_LOGIN_ENTRY_POINT = "/api/auth/login";
    public static final String TOKEN_BASED_AUTH_ENTRY_POINT = "/api/**";
    public static final String MANAGE_TOKEN_BASED_AUTH_ENTRY_POINT = "/manage/**";
    public static final String TOKEN_REFRESH_ENTRY_POINT = "/api/auth/token";

    @Autowired private RestAuthenticationEntryPoint authenticationEntryPoint;
    @Autowired private AuthenticationSuccessHandler successHandler;
    @Autowired private AuthenticationFailureHandler failureHandler;
    @Autowired private LoginAuthenticationProvider loginAuthenticationProvider;
    @Autowired private TokenAuthenticationProvider tokenAuthenticationProvider;

    @Autowired private TokenExtractor tokenExtractor;

    @Autowired private AuthenticationManager authenticationManager;

    protected LoginProcessingFilter buildLoginProcessingFilter() throws Exception {
        LoginProcessingFilter filter = new LoginProcessingFilter(FORM_BASED_LOGIN_ENTRY_POINT, successHandler, failureHandler);
        filter.setAuthenticationManager(this.authenticationManager);
        return filter;
    }

    protected TokenAuthenticationProcessingFilter buildTokenAuthenticationProcessingFilter() throws Exception {
        List<String> list = Lists.newArrayList(TOKEN_BASED_AUTH_ENTRY_POINT,MANAGE_TOKEN_BASED_AUTH_ENTRY_POINT);
        SkipPathRequestMatcher matcher = new SkipPathRequestMatcher(list);
        TokenAuthenticationProcessingFilter filter = new TokenAuthenticationProcessingFilter(failureHandler, tokenExtractor, matcher);
        filter.setAuthenticationManager(this.authenticationManager);
        return filter;
    }

    @Bean
    @Override
    public AuthenticationManager authenticationManagerBean() throws Exception {
        return super.authenticationManagerBean();
    }

    @Override
    protected void configure(AuthenticationManagerBuilder auth) {
        auth.authenticationProvider(loginAuthenticationProvider);
        auth.authenticationProvider(tokenAuthenticationProvider);
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
        .csrf().disable() // 因為使用的是JWT，因此這裡可以關閉csrf了
        .exceptionHandling()
        .authenticationEntryPoint(this.authenticationEntryPoint)
        .and()
            .sessionManagement()
            .sessionCreationPolicy(SessionCreationPolicy.STATELESS)
        .and()
            .authorizeRequests()
                .antMatchers(FORM_BASED_LOGIN_ENTRY_POINT).permitAll() // Login end-point
                .antMatchers(TOKEN_REFRESH_ENTRY_POINT).permitAll() // Token refresh end-point
        .and()
            .authorizeRequests()
                .antMatchers(TOKEN_BASED_AUTH_ENTRY_POINT).authenticated() // Protected API End-points
                .antMatchers(MANAGE_TOKEN_BASED_AUTH_ENTRY_POINT).hasAnyRole(RoleEnum.ADMIN.name())
        .and()
            .addFilterBefore(buildLoginProcessingFilter(), UsernamePasswordAuthenticationFilter.class)
            .addFilterBefore(buildTokenAuthenticationProcessingFilter(), UsernamePasswordAuthenticationFilter.class);
    }
}

- 說點什麼

由於JWT程式碼做了簡單封裝，包含內容較多，所以文章裡只貼主要片段，需要完整程式碼可以直接從下面GIT獲取

如有問題請及時與我聯絡

  • 個人QQ：1837307557
  • Spring Cloud中國社群①：415028731
  • Spring For All 社群⑤：157525002

相關推薦

一起來學SpringCloud之

上一篇已經講了微服務元件中的 路由閘道器（Zuul），但是未介紹服務認證相關，本章主要講解基於Spring Security 與 JJWT 實現 JWT（JSON Web Token）為介面做授權處理… - JWT JWT（JSON Web

一起來學設計模式-----創建型模式之工廠方法

定義 修改 microsoft png ont 其他 urn 設計模式 cto 工廠方法模式，在簡單工廠上再深一層，簡單工廠裏有一個弊端，就是在方法裏是根據用戶的輸入直接返回子類對象。在工廠方法裏，定義了一個用於創建對象的接口，讓子類決定實例化哪一個類，工廠方

一起來學大數據——走進Linux之門，學習大數據的重中之重

redhat 希望 實現 這就是 企業 http 添加 獨立 這就是我 昨天我們看了有關大數據Hadoop的一些知識點，但是要在學習大數據之前，我們還是要為大數據的環境做一些的部署。 那麽，今天我們就來講講開啟我們大數據之路的Linux，跟上我們的腳步yo~ Linux介紹

一起來學大資料｜Mybatis之如魚得水的動態SQL，百樣玲瓏？

  昨天，我們就學習了mybatis的 一下相關的知識，文章開頭我們級提到它可以解決SQL的硬編碼問題，但是根據昨天的文章，我們並沒有看出mybatis的優勢。今天我們來使用mybatis中的動態sql來解決我們仍有的困惑。 動態 SQL 在mybatis框架中，動態

一起來學大資料｜Spring之AOP操作，巧奪天功的切面技術

  我們已經看了Spring的註解，體驗了一把快速建立物件個屬性注入。一起來學大資料｜秒懂Spring註解，艾特一下你就明白，這麼妙？ 這篇我們學習的是spring中重要的AOP面向切面的思想。之後，我們便可以在不修改原始碼的前提下實現方法的增強。 AOP技術簡介

一起來學大資料——走進Linux之門，學習大資料的重中之重

昨天我們看了有關大資料Hadoop的一些知識點，但是要在學習大資料之前，我們還是要為大資料的環境做一些的部署。 那麼，今天我們就來講講開啟我們大資料之路的Linux，跟上我們的腳步yo~ Linux介紹 Linux是我們當前各大系統中一種自由和開源的OS，雖然市面上

一起來學大資料｜為何學習大資料，要先學Java？之茅塞頓開

開發十年，就只剩下這套架構體系了！ >>>   

一起來學設計模式-----工廠模式的實踐

既然 全局 只需要 又是 選擇 宏函數 深入 bcm get 工廠設計模式是入門模式，也是使用較多的模式，這一篇就總結下我在測試項目時，看到使用的地方以及編寫測試樁時基於此模式的實際運用。 實例一：測試的c++項目——簡單工廠+宏函數反射的使用

一起來學redis（一）

硬盤 目前 入門指南 開發 方式 大內存 rem 生存 設置 redis是一個開源的，高性能的，基於鍵值對的緩存與存儲系統通過提供多種鍵值數據類型來適應不同場景下的緩存與存儲需求。 同時redis的諸多高層級功能使其可以勝任消息隊列，任務隊列等不同的角色。 特性 Red

一起來學SpringBoot ——JDK8 日期格式化

為什麼要用新的日期型別 在 JDK8 中，一個新的重要特性就是引入了全新的時間和日期API，它被收錄在 java.time 包中。藉助新的時間和日期API可以以更簡潔的方法處理時間和日期。 在 JDK8 之前，所有關於時間和日期的API存在以

一起來學大資料｜Spring的事務管理，一分錢也不能少

  之前我們講過spring是一站式框架，我們已經學習了spring框架簡單的資料操作。今天我們一起來看看spring針對dao層提供的解決技術jdbcTemplate。我們直接以銀行轉賬為例，完成我們資料庫的連線和事務管理。 JdbcTemplate 1、準備工作

一起來學大資料｜最流行的框架Spring，怎麼可以這麼優秀

  昨天我們學習的MyBatis框架，其能夠極大的簡化訪問層的程式碼複雜程度，也是我們當今MVC框架中十分流行的持久層框架。而我們今天學習到的Spring框架，毫無疑問是我們在開發中大型專案的最流行的框架。 這麼牛逼麼？我們趕緊來看看吧~ Spring框架介紹 S

一起來學大資料｜優秀的持久層框架Mybatis，連線資料庫快人一步

  我們之前學習了JDBC和連線池之後，攻城獅們對程式設計的效率仍然不是很滿意。於是乎！有了今天更加優秀的內容，那就是Mybatis框架。它的出現解決了jdbc中的一些問題，提升了程式碼的魯棒性。我們一起來看一下吧~ 一起來學大資料｜Java與資料庫之間的連線JDBC

一起來學大資料｜秒懂Spring註解，艾特一下你就明白，這麼妙？

  我們已經簡單學習了spring框架和使用傳統的方式對類方法注入屬性。但是這樣的注入屬性方式，在當前看來還是比較的麻煩，那麼我們現在使用的更好的方式是什麼呢？ 今天帶大家來看spring的bean管理下的註解方式，讓程式碼再精簡一半。 註解介紹 我們知道spri

一起來學大資料｜整合SpringMVC與Mybatis，各司其職相得益彰

  我們在上篇的文章中學習了在網頁上展示一個簡單 的商品頁面，而我們真正需要的是與資料庫之間結合。 今天我們就一起來看看持久層最優秀的mybatis和控制層最優秀的spring最佳整合。 整合思路 Dao層： 1、SqlMapConfig.xml，這裡我們只需

一起來學大資料｜此框只應天上有，後起之秀SpringMVC

  MVC用於應用程式的分層開發，而在眾多的MVC中，springMVC在時代的選擇下，成為當今最流行也是最優秀的MVC設計模式。下面，我們一起來看看。 MVC MVC就是模型-檢視-控制器（Model-View-Controller）的縮寫。具體的解釋如下：

我們一起來學java8的lambda表示式Stream

Java 8 函數語言程式設計風格 Java 迄今為止最令人激動的特徵。這些新的語言特徵允許採用函式式風格來進行編碼，我們可以用這些特性完成許多有趣的功能。這些特性如此有趣以至於被認為是不合理的.他們說會影響計算速度,但是雖然是真的,但是存在皆合理. 所以我們摒棄缺點,研究優點. 演練  

我們一起來學java8的lambda表達式Stream

all span 優先執行 collector 一起 chinese 跳過 匹配 多線程 Java 8 函數式編程風格 Java 迄今為止最令人激動的特征。這些新的語言特征允許采用函數式風格來進行編碼，我們可以用這些特性完成許多有趣的功能。這些特性如此有趣以至於被認為是不合

一起來學SpringBoot | 第一篇：構建第一個SpringBoot工程

文章目錄 1. 設計的目標 2. 前提 3. 建立專案 3.1. 目錄結果 3.2. pom.xml 依賴 3.3. 主函式入口 3.4. 初窺配置檔案 3.5. 測試 4. 拓展知識 4.1. 自定義Banner 5. 總結 6. 說點什麼

一起來學SpringBoot | 第二篇：SpringBoot配置詳解

文章目錄 自定義屬性配置 自定義檔案配置 多環境化配置 外部命令引導 總結 說點什麼 SpringBoot 是為了簡化 Spring 應用的建立、執行、除錯、部署等一系列問題而誕生的產物，自動裝配的特性讓我們可以更好的關注業務本身而不是外部的XML配