关于JWT原理和相关问题,一定要先阅读我的另一篇文章《JWT技术——基于token的鉴权机制》
根据文中的论述,JWT存在许多安全隐患,建议使用HTTPS。
但是本文以实现JWT方案为主,不考虑安全性——JWT方案是可以扩展的,为了提高安全性,可以在后期的设计中去加强。
JWT登录的原理:
-> 客户端 携带认证名和密码 发起登录请求
-> 服务器端验证成功,返回 token 给客户端
-> 客户端保存 token(通常是保存在Cookie或者LocalStorage中)
-> 客户端以后每次请求,都在Header中 携带该Token
-> 服务器端,每次接收非登录请求,都验证Header中是否有token
注意:
服务端要支持CORS(跨来源资源共享)策略,以便接收其他不同客户端的请求。
平滑的处理token过期,如果用户一直在活动,需要刷新token,客户端要配合。
Session登录的原理:
-> 客户端 携带认证名和密码 发起登录请求
-> 服务器端验证成功,将用户信息存储下来,生成一个 sessionId, 返回给客户端,并通知客户端将sessionId set到cookie中
-> 客户端自动执行服务器端将sessionId set到cookie中的命令,sessionId被自动保存在cookie中
-> 客户端以后每次请求,都会自动将cookie中的sessionId发送给服务器端
-> 服务器端,每次接收请求,都从cookie中取出sessionId,根据这个id找到存储的用户信息,如果有,说明登录,否则说明未登录或者已过期。
两者是非常相似的,不同之处在于:
1、Session登录方式,sessionId是自动保存到cookie中的,且发送请求时,浏览器是自动附加上cookie信息的,这一切的前提是:前后端处于同一域下面,如果不是相同的域,cookie信息是不会自动提交给后端的。
2、Session登录方式,服务器端缓存了登录用户的信息,而JWT方式,服务器端可以不存储任何信息,只要验证Token通过即可,不一定要知道用户信息,实际上JWT方式,JWT的Token本身存储了一些关键数据(比如用户名,过期时间),token是根据密码学算法生成的,无法更改token里面的内容。
3、Session登录方式,缓存的过期时间是由服务器端设定的,而JWT方式,token信息中自带过期时间(服务器端生成token的时候就设定好了过期时间),过期之后token验证失败。
4、Session登录方式,优点是不存在CORS跨域问题,且服务器端处理登录过期很简单、自然。但不支持跨域访问在某些情况下是硬伤!!(比如APP登录)
5、Session登录方式,sessionId是自动保存和发送的,而JWT方案,客户端需要写代码实现token的保存,并配置AJAX的header实现token的发送。
Session和JWT登录 整合方案:
1、用类似于JWT的token作为SessionId,客户端采用JWT模式来保存和发送这个sessionId,保存在cookie或localStorage中,发送时用header;
2、为了接收非同源客户端的AJAX请求,服务器端需要启用 CORS(Cross-Origin Resource Sharing) 跨域访问,为指定域名的客户端开通白名单;
3、服务器端采用session的处理方式,保存session信息,并根据请求来更新过期时间,同时,服务器端兼容从cookie或者header中取得sessionId。
具体在 Shiro 框架中,实现起来也简单,重写DefaultWebSessionManager的getSessionId方法,加入从header中获取的策略即可,
代码如下:
public class HeaderBasedWebSessionManager extends DefaultWebSessionManager implements WebSessionManager { @Override protected Serializable getSessionId(ServletRequest request, ServletResponse response) { Serializable id = super.getSessionId(request, response); if (id != null) { return id; } id = getSessionIdFromHeader((HttpServletRequest) request); if (id != null) { request.setAttribute(ShiroHttpServletRequest.REFERENCED_SESSION_ID, id); request.setAttribute(ShiroHttpServletRequest.REFERENCED_SESSION_ID_IS_VALID, Boolean.TRUE); } return id; } private Serializable getSessionIdFromHeader(HttpServletRequest request) { return request.getHeader(getSessionIdName()); // JSESSIONID } }