【JAVA】JWT 与 cookie session

版权声明:本文为博主原创文章,未经博主允许不得转载。 https://xxlcube.blog.csdn.net/article/details/83309327

共享session相信大家都用过,为了解决http无状态的问题,都会通过cookie、session共享来解决用户状态共享的问题,一般都是通过cookie来保存sessionid,服务端通过sessionid在内存中取出用户的信息,做后续操作。但是在前后端分离越来越流行的情况下,cookie似乎不那么通用了,出现了更好的解决方案——JWT ,  json  web  token

jwt由三部分构成,头部、有效数据、签名,这部分数据很小,可以放在http协议的任何部位进行传输,服务端收到后可直接进行业务处理,无需查询缓存、数据库等,提高性能。

所以jwt最后的数据是这样的

xxxxx.yyyyy.zzzzz

1、header包含两部分内容

{
  "alg": "HS256",
  "typ": "JWT"
}

签名算法,和类型JWT

2、payload有效数据

{ "sub": "1234567890", "name": "John Doe", "admin": true }

3、签名

HMACSHA256(
  base64UrlEncode(header) + "." +
  base64UrlEncode(payload),
  secret)

对header进行base64.payload进行base64,然后对整个串进行hmacsha256加密

 

最后的JWT就是三段base64编码中间通过.分开的一个字符串

服务端收到这串字符串,首先解密,验签,判断数据是否正确,走后续的逻辑

 

有的人可能认为JWT不够安全,因为payload会暴露有效数据,我个人认为,JWT的数据格式可以适当修改,其实无非就是放了个用户id,以及权限角色等信息,应该够了,为了提高安全性,可以每次都由服务端来返回这个JWT token,由前端下一次请求带过来验证,做到JWT token一次失效。

 

session JWT各有各的好处,酌情考虑。

展开阅读全文

没有更多推荐了,返回首页