搜索

[22296] 2021-08-28_还傻傻分不清Cookie、Session、Token、JWT？

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-08-28_还傻傻分不清Cookie、Session、Token、JWT？ 还 傻 傻 分 不 清   C o o k i e 、 S e s s i o n 、 T o k e n 、 J W T ？ L e m o n S e c   2 0 2 1 - 0 8 - 2 8 1 、 什 么 是 认 证 （ 、 什 么 是 认 证 （ A u t h e n t i c a t i o n ） ） 通 俗 地 讲 就 是 验 证 当 前 用 户 的 身 份 验 证 当 前 用 户 的 身 份 ， 证 明 “ 你 是 你 自 己 ” （ 比 如 ： 你 每 天 上 下 班 打 卡 ， 都 需 要 通 过 指 纹 打 卡 ， 当 你 的 指 纹 和 系 统 里 录 入 的 指 纹 相 匹 配 时 ， 就 打 卡 成 功 ） 互 联 网 中 的 认 证 ： 用 户 名 密 码 登 录 邮 箱 发 送 登 录 链 接 手 机 号 接 收 验 证 码 只 要 你 能 收 到 邮 箱 / 验 证 码 ， 就 默 认 你 是 账 号 的 主 人 2 、 什 么 是 授 权 （ 、 什 么 是 授 权 （ A u t h o r i z a t i o n ） ） 用 户 授 予 第 三 方 应 用 访 问 该 用 户 某 些 资 源 的 权 限 用 户 授 予 第 三 方 应 用 访 问 该 用 户 某 些 资 源 的 权 限 你 在 安 装 手 机 应 用 的 时 候 ， A P P   会 询 问 是 否 允 许 授 予 权 限 （ 访 问 相 册 、 地 理 位 置 等 权 限 ） 你 在 访 问 微 信 小 程 序 时 ， 当 登 录 时 ， 小 程 序 会 询 问 是 否 允 许 授 予 权 限 （ 获 取 昵 称 、 头 像 、 地 区 、 性 别 等 个 人 信 息 ） 实 现 授 权 的 方 式 有 ： c o o k i e 、 s e s s i o n 、 t o k e n 、 O A u t h 3 、 什 么 是 凭 证 （ 、 什 么 是 凭 证 （ C r e d e n t i a l s ） ） 实 现 认 证 和 授 权 的 前 提 实 现 认 证 和 授 权 的 前 提 是 需 要 一 种 媒 介 （ 证 书 ） 媒 介 （ 证 书 ）   来 标 记 访 问 者 的 身 份 在 战 国 时 期 ， 商 鞅 变 法 ， 发 明 了 照 身 帖 。 照 身 帖 由 官 府 发 放 ， 是 一 块 打 磨 光 滑 细 密 的 竹 板 ， 上 面 刻 有 持 有 人 的 头 像 和 籍 贯 信 息 。 国 人 必 须 持 有 ， 如 若 没 有 就 被 认 为 是 黑 户 ， 或 者 间 谍 之 类 的 。 在 现 实 生 活 中 ， 每 个 人 都 会 有 一 张 专 属 的 居 民 身 份 证 ， 是 用 于 证 明 持 有 人 身 份 的 一 种 法 定 证 件 。 通 过 身 份 证 ， 我 们 可 以 办 理 手 机 卡 / 银 行 卡 / 个 人 贷 款 / 交 通 出 行 等 等 ， 这 就 是 认 证 的 凭 证 。 认 证 的 凭 证 。 在 互 联 网 应 用 中 ， 一 般 网 站 （ 如 掘 金 ） 会 有 两 种 模 式 ， 游 客 模 式 和 登 录 模 式 。 游 客 模 式 下 ， 可 以 正 常 浏 览 网 站 上 面 的 文 章 ， 一 旦 想 要 点 赞 / 收 藏 / 分 享 文 章 ， 就 需 要 登 录 或 者 注 册 账 号 。 当 用 户 登 录 成 功 后 ， 服 务 器 会 给 该 用 户 使 用 的 浏 览 器 颁 发 一 个 令 牌 （ t o k e n ） ， 这 个 令 牌 用 来 表 明 你 的 身 份 ， 每 次 浏 览 器 发 送 请 求 时 会 带 上 这 个 令 牌 ， 就 可 以 使 用 游 客 模 式 下 无 法 使 用 的 功 能 。 4 、 什 么 是 、 什 么 是   C o o k i e H T T P   是 无 状 态 的 协 议 （ 对 于 事 务 处 理 没 有 记 忆 能 力 ， 每 次 客 户 端 和 服 务 端 会 话 完 成 时 ， 服 务 端 不 会 保 存 任 何 会 是 无 状 态 的 协 议 （ 对 于 事 务 处 理 没 有 记 忆 能 力 ， 每 次 客 户 端 和 服 务 端 会 话 完 成 时 ， 服 务 端 不 会 保 存 任 何 会 话 信 息 话 信 息 ） ： 每 个 请 求 都 是 完 全 独 立 的 ， 服 务 端 无 法 确 认 当 前 访 问 者 的 身 份 信 息 ， 无 法 分 辨 上 一 次 的 请 求 发 送 者 和 这 一 次 的 发 送 者 是 不 是 同 一 个 人 。 所 以 服 务 器 与 浏 览 器 为 了 进 行 会 话 跟 踪 （ 知 道 是 谁 在 访 问 我 ） ， 就 必 须 主 动 的 去 维 护 一 个 状 态 ， 这 个 状 态 用 于 告 知 服 务 端 前 后 两 个 请 求 是 否 来 自 同 一 浏 览 器 。 而 这 个 状 态 需 要 通 过   c o o k i e   或 者   s e s s i o n   去 实 现 。 c o o k i e   存 储 在 客 户 端 ： 存 储 在 客 户 端 ：   c o o k i e   是 服 务 器 发 送 到 用 户 浏 览 器 并 保 存 在 本 地 的 一 小 块 数 据 ， 它 会 在 浏 览 器 下 次 向 同 一 服 务 器 再 发 起 请 求 时 被 携 带 并 发 送 到 服 务 器 上 。 c o o k i e   是 不 可 跨 域 的 ： 是 不 可 跨 域 的 ：   每 个   c o o k i e   都 会 绑 定 单 一 的 域 名 ， 无 法 在 别 的 域 名 下 获 取 使 用 ， 一 级 域 名 和 二 级 域 名 之 间 是 一 级 域 名 和 二 级 域 名 之 间 是 允 许 共 享 使 用 的 允 许 共 享 使 用 的 （ 靠 的 是 靠 的 是   d o m a i n ） ） 。 c o o k i e   重 要 的 属 性 重 要 的 属 性
5 、 什 么 是 、 什 么 是   S e s s i o n s e s s i o n   是 另 一 种 记 录 服 务 器 和 客 户 端 会 话 状 态 的 机 制 是 另 一 种 记 录 服 务 器 和 客 户 端 会 话 状 态 的 机 制 s e s s i o n   是 基 于 是 基 于   c o o k i e   实 现 的 ， 实 现 的 ， s e s s i o n   存 储 在 服 务 器 端 ， 存 储 在 服 务 器 端 ， s e s s i o n I d   会 被 存 储 到 客 户 端 的 会 被 存 储 到 客 户 端 的 c o o k i e   中 中
s e s s i o n   认 证 流 程 ： 认 证 流 程 ： 用 户 第 一 次 请 求 服 务 器 的 时 候 ， 服 务 器 根 据 用 户 提 交 的 相 关 信 息 ， 创 建 对 应 的   S e s s i o n 请 求 返 回 时 将 此   S e s s i o n   的 唯 一 标 识 信 息   S e s s i o n I D   返 回 给 浏 览 器 浏 览 器 接 收 到 服 务 器 返 回 的   S e s s i o n I D   信 息 后 ， 会 将 此 信 息 存 入 到   C o o k i e   中 ， 同 时   C o o k i e   记 录 此   S e s s i o n I D   属 于 哪 个 域 名 当 用 户 第 二 次 访 问 服 务 器 的 时 候 ， 请 求 会 自 动 判 断 此 域 名 下 是 否 存 在   C o o k i e   信 息 ， 如 果 存 在 自 动 将   C o o k i e   信 息 也 发 送 给 服 务 端 ， 服 务 端 会 从   C o o k i e   中 获 取   S e s s i o n I D ， 再 根 据   S e s s i o n I D   查 找 对 应 的   S e s s i o n   信 息 ， 如 果 没 有 找 到 说 明 用 户 没 有 登 录 或 者 登 录 失 效 ， 如 果 找 到   S e s s i o n   证 明 用 户 已 经 登 录 可 执 行 后 面 操 作 。 根 据 以 上 流 程 可 知 ， S e s s i o n I D   是 连 接 是 连 接   C o o k i e   和 和   S e s s i o n   的 一 道 桥 梁 的 一 道 桥 梁 ， 大 部 分 系 统 也 是 根 据 此 原 理 来 验 证 用 户 登 录 状 态 。 C o o k i e   和 和   S e s s i o n   的 区 别 的 区 别 安 全 性 ： 安 全 性 ：   S e s s i o n   比   C o o k i e   安 全 ， S e s s i o n   是 存 储 在 服 务 器 端 的 ， C o o k i e   是 存 储 在 客 户 端 的 。 存 取 值 的 类 型 不 同 存 取 值 的 类 型 不 同 ： C o o k i e   只 支 持 存 字 符 串 数 据 ， 想 要 设 置 其 他 类 型 的 数 据 ， 需 要 将 其 转 换 成 字 符 串 ， S e s s i o n   可 以 存 任 意 数 据 类 型 。 有 效 期 不 同 ： 有 效 期 不 同 ：   C o o k i e   可 设 置 为 长 时 间 保 持 ， 比 如 我 们 经 常 使 用 的 默 认 登 录 功 能 ， S e s s i o n   一 般 失 效 时 间 较 短 ， 客 户 端 关 闭 （ 默 认 情 况 下 ） 或 者   S e s s i o n   超 时 都 会 失 效 。 存 储 大 小 不 同 ： 存 储 大 小 不 同 ：   单 个   C o o k i e   保 存 的 数 据 不 能 超 过   4 K ， S e s s i o n   可 存 储 数 据 远 高 于   C o o k i e ， 但 是 当 访 问 量 过 多 ， 会 占 用 过 多 的 服 务 器 资 源 。 6 、 什 么 是 、 什 么 是   T o k e n （ 令 牌 ） （ 令 牌 ） A c e s s s   T o k e n 访 问 资 源 接 口 （ 访 问 资 源 接 口 （ A P I ） 时 所 需 要 的 资 源 凭 证 ） 时 所 需 要 的 资 源 凭 证 简 单 简 单   t o k e n   的 组 成 ： 的 组 成 ：   u i d ( 用 户 唯 一 的 身 份 标 识 ) 、 t i m e ( 当 前 时 间 的 时 间 戳 ) 、 s i g n （ 签 名 ， t o k e n   的 前 几 位 以 哈 希 算 法 压 缩 成 的 一 定 长 度 的 十 六 进 制 字 符 串 ） 特 点 ： 特 点 ：
服 务 端 无 状 态 化 、 可 扩 展 性 好 服 务 端 无 状 态 化 、 可 扩 展 性 好 支 持 移 动 端 设 备 支 持 移 动 端 设 备 安 全 支 持 跨 程 序 调 用 t o k e n   的 身 份 验 证 流 程 ： 的 身 份 验 证 流 程 ： 1 .   客 户 端 使 用 用 户 名 跟 密 码 请 求 登 录 2 .   服 务 端 收 到 请 求 ， 去 验 证 用 户 名 与 密 码 3 .   验 证 成 功 后 ， 服 务 端 会 签 发 一 个   t o k e n   并 把 这 个   t o k e n   发 送 给 客 户 端 4 .   客 户 端 收 到   t o k e n   以 后 ， 会 把 它 存 储 起 来 ， 比 如 放 在   c o o k i e   里 或 者   l o c a l S t o r a g e   里 5 .   客 户 端 每 次 向 服 务 端 请 求 资 源 的 时 候 需 要 带 着 服 务 端 签 发 的   t o k e n 6 .   服 务 端 收 到 请 求 ， 然 后 去 验 证 客 户 端 请 求 里 面 带 着 的   t o k e n   ， 如 果 验 证 成 功 ， 就 向 客 户 端 返 回 请 求 的 数 据 每 一 次 请 求 都 需 要 携 带 每 一 次 请 求 都 需 要 携 带   t o k e n ， 需 要 把 ， 需 要 把   t o k e n   放 到 放 到   H T T P   的 的   H e a d e r   里 里 基 于 基 于   t o k e n   的 用 户 认 证 是 一 种 服 务 端 无 状 态 的 认 证 方 式 ， 服 务 端 不 用 存 放 的 用 户 认 证 是 一 种 服 务 端 无 状 态 的 认 证 方 式 ， 服 务 端 不 用 存 放   t o k e n   数 据 。 用 解 析 数 据 。 用 解 析   t o k e n   的 计 算 时 间 换 的 计 算 时 间 换 取 取   s e s s i o n   的 存 储 空 间 ， 从 而 减 轻 服 务 器 的 压 力 ， 减 少 频 繁 的 查 询 数 据 库 的 存 储 空 间 ， 从 而 减 轻 服 务 器 的 压 力 ， 减 少 频 繁 的 查 询 数 据 库 t o k e n   完 全 由 应 用 管 理 ， 所 以 它 可 以 避 开 同 源 策 略 完 全 由 应 用 管 理 ， 所 以 它 可 以 避 开 同 源 策 略 R e f r e s h   T o k e n 另 外 一 种   t o k e n — — r e f r e s h   t o k e n r e f r e s h   t o k e n   是 专 用 于 刷 新   a c c e s s   t o k e n   的   t o k e n 。 如 果 没 有   r e f r e s h   t o k e n ， 也 可 以 刷 新   a c c e s s   t o k e n ， 但 每 次 刷 新 都 要 用 户 输 入 登 录 用 户 名 与 密 码 ， 会 很 麻 烦 。 有 了   r e f r e s h   t o k e n ， 可 以 减 少 这 个 麻 烦 ， 客 户 端 直 接 用   r e f r e s h   t o k e n   去 更 新   a c c e s s t o k e n ， 无 需 用 户 进 行 额 外 的 操 作 。
A c c e s s   T o k e n   的 有 效 期 比 较 短 ， 当   A c e s s s   T o k e n   由 于 过 期 而 失 效 时 ， 使 用   R e f r e s h   T o k e n   就 可 以 获 取 到 新 的   T o k e n ， 如 果 R e f r e s h   T o k e n   也 失 效 了 ， 用 户 就 只 能 重 新 登 录 了 。 R e f r e s h   T o k e n   及 过 期 时 间 是 存 储 在 服 务 器 的 数 据 库 中 ， 只 有 在 申 请 新 的   A c e s s s   T o k e n   时 才 会 验 证 ， 不 会 对 业 务 接 口 响 应 时 间 造 成 影 响 ， 也 不 需 要 向   S e s s i o n   一 样 一 直 保 持 在 内 存 中 以 应 对 大 量 的 请 求 。 T o k e n   和 和   S e s s i o n   的 区 别 的 区 别 S e s s i o n   是 一 种 记 录 服 务 器 和 客 户 端 会 话 状 态 的 机 制 ， 使 服 务 端 有 状 态 化 ， 可 以 记 录 会 话 信 息 记 录 服 务 器 和 客 户 端 会 话 状 态 的 机 制 ， 使 服 务 端 有 状 态 化 ， 可 以 记 录 会 话 信 息 。 而   T o k e n   是 令 令 牌 牌 ， 访 问 资 源 接 口 （ 访 问 资 源 接 口 （ A P I ） 时 所 需 要 的 资 源 凭 证 ） 时 所 需 要 的 资 源 凭 证 。 T o k e n   使 服 务 端 无 状 态 化 ， 不 会 存 储 会 话 信 息 。 使 服 务 端 无 状 态 化 ， 不 会 存 储 会 话 信 息 。 S e s s i o n   和   T o k e n   并 不 矛 盾 ， 作 为 身 份 认 证   T o k e n   安 全 性 比   S e s s i o n   好 ， 因 为 每 一 个 请 求 都 有 签 名 还 能 防 止 监 听 以 及 重 放 攻 击 ， 而   S e s s i o n   就 必 须 依 赖 链 路 层 来 保 障 通 讯 安 全 了 。 如 果 你 需 要 实 现 有 状 态 的 会 话 ， 仍 然 可 以 增 加 如 果 你 需 要 实 现 有 状 态 的 会 话 ， 仍 然 可 以 增 加   S e s s i o n   来 在 来 在 服 务 器 端 保 存 一 些 状 态 。 服 务 器 端 保 存 一 些 状 态 。 所 谓   S e s s i o n   认 证 只 是 简 单 的 把   U s e r   信 息 存 储 到   S e s s i o n   里 ， 因 为   S e s s i o n I D   的 不 可 预 测 性 ， 暂 且 认 为 是 安 全 的 。 而   T o k e n ， 如 果 指 的 是   O A u t h   T o k e n   或 类 似 的 机 制 的 话 ， 提 供 的 是   认 证   和   授 权   ， 认 证 是 针 对 用 户 ， 授 权 是 针 对   A p p   。 其 目 的 是 让 某   A p p   有 权 利 访 问 某 用 户 的 信 息 。 这 里 的   T o k e n   是 唯 一 的 。 不 可 以 转 移 到 其 它   A p p 上 ， 也 不 可 以 转 到 其 它 用 户 上 。 S e s s i o n   只 提 供 一 种 简 单 的 认 证 ， 即 只 要 有 此   S e s s i o n I D   ， 即 认 为 有 此   U s e r   的 全 部 权 利 。 是 需 要 严 格 保 密 的 ， 这 个 数 据 应 该 只 保 存 在 站 方 ， 不 应 该 共 享 给 其 它 网 站 或 者 第 三 方   A p p 。 所 以 简 单 来 说 ： 如 果 你 的 用 户 数 据 可 能 需 要 和 第 三 方 共 如 果 你 的 用 户 数 据 可 能 需 要 和 第 三 方 共 享 ， 或 者 允 许 第 三 方 调 用 享 ， 或 者 允 许 第 三 方 调 用   A P I   接 口 ， 用 接 口 ， 用   T o k e n   。 如 果 永 远 只 是 自 己 的 网 站 ， 自 己 的 。 如 果 永 远 只 是 自 己 的 网 站 ， 自 己 的   A p p ， 用 什 么 就 无 所 谓 了 。 ， 用 什 么 就 无 所 谓 了 。 7 、 什 么 是 、 什 么 是   J W T J S O N   W e b   T o k e n （ 简 称   J W T ） 是 目 前 最 流 行 的 跨 域 认 证 跨 域 认 证 解 决 方 案 。 是 一 种 认 证 授 权 机 制 认 证 授 权 机 制 。 J W T   是 为 了 在 网 络 应 用 环 境 间 传 递 声 明 传 递 声 明 而 执 行 的 一 种 基 于   J S O N   的 开 放 标 准 （ R F C   7 5 1 9 ） 。 J W T   的 声 明 一 般 被 用 来 在 身 份 提 供 者 和 服 务 提 供 者 间 传 递 被 认 证 的 用 户 身 份 信 息 ， 以 便 于 从 资 源 服 务 器 获 取 资 源 。 比 如 用 在 用 户 登 录 上 。 可 以 使 用   H M A C   算 法 或 者 是   R S A   的 公 / 私 秘 钥 对   J W T   进 行 签 名 。 因 为 数 字 签 名 的 存 在 ， 这 些 传 递 的 信 息 是 可 信 的 。 阮 一 峰 老 师 的 阮 一 峰 老 师 的   J S O N   W e b   T o k e n   入 门 教 程 入 门 教 程   讲 的 非 常 通 俗 易 懂 ， 这 里 就 不 再 班 门 弄 斧 了 讲 的 非 常 通 俗 易 懂 ， 这 里 就 不 再 班 门 弄 斧 了 生 成 生 成   J W T
h t t p s : / / j w t . i o / h t t p s : / / w w w . j s o n w e b t o k e n . i o / J W T   的 原 理 的 原 理 J W T   认 证 流 程 ： 认 证 流 程 ： 用 户 输 入 用 户 名 / 密 码 登 录 ， 服 务 端 认 证 成 功 后 ， 会 返 回 给 客 户 端 一 个   J W T 客 户 端 将   t o k e n   保 存 到 本 地 （ 通 常 使 用   l o c a l s t o r a g e ， 也 可 以 使 用   c o o k i e ） 当 用 户 希 望 访 问 一 个 受 保 护 的 路 由 或 者 资 源 的 时 候 ， 需 要 请 求 头 的   A u t h o r i z a t i o n   字 段 中 使 用 B e a r e r   模 式 添 加   J W T ， 其 内 容 看 起 来 是 下 面 这 样 服 务 端 的 保 护 路 由 将 会 检 查 请 求 头   A u t h o r i z a t i o n   中 的   J W T   信 息 ， 如 果 合 法 ， 则 允 许 用 户 的 行 为 因 为   J W T   是 自 包 含 的 （ 内 部 包 含 了 一 些 会 话 信 息 ） ， 因 此 减 少 了 需 要 查 询 数 据 库 的 需 要 因 为   J W T   并 不 使 用   C o o k i e   的 ， 所 以 你 可 以 使 用 任 何 域 名 提 供 你 的   A P I   服 务 而 不 需 要 担 心 跨 域 资 源 共 享 问 题 （ C O R S ） 因 为 用 户 的 状 态 不 再 存 储 在 服 务 端 的 内 存 中 ， 所 以 这 是 一 种 无 状 态 的 认 证 机 制 J W T   的 使 用 方 式 的 使 用 方 式 客 户 端 收 到 服 务 器 返 回 的   J W T ， 可 以 储 存 在   C o o k i e   里 面 ， 也 可 以 储 存 在   l o c a l S t o r a g e 。 方 式 一 方 式 一 当 用 户 希 望 访 问 一 个 受 保 护 的 路 由 或 者 资 源 的 时 候 ， 可 以 把 它 放 在   C o o k i e   里 面 自 动 发 送 ， 但 是 这 样 不 能 跨 域 ， 所 以 更 好 的 做 法 是 放 在   H T T P   请 求 头 信 息 的   A u t h o r i z a t i o n   字 段 里 ， 使 用   B e a r e r   模 式 添 加   J W T 。 用 户 的 状 态 不 会 存 储 在 服 务 端 的 内 存 中 ， 这 是 一 种   无 状 态 的 认 证 机 制 无 状 态 的 认 证 机 制 服 务 端 的 保 护 路 由 将 会 检 查 请 求 头   A u t h o r i z a t i o n   中 的   J W T   信 息 ， 如 果 合 法 ， 则 允 许 用 户 的 行 为 。 A u t h o r i z a t i o n :   B e a r e r   < t o k e n > G E T   / c a l e n d a r / v 1 / e v e n t s H o s t :   a p i . e x a m p l e . c o m A u t h o r i z a t i o n :   B e a r e r   < t o k e n >
由 于   J W T   是 自 包 含 的 ， 因 此 减 少 了 需 要 查 询 数 据 库 的 需 要 J W T   的 这 些 特 性 使 得 我 们 可 以 完 全 依 赖 其 无 状 态 的 特 性 提 供 数 据   A P I   服 务 ， 甚 至 是 创 建 一 个 下 载 流 服 务 。 因 为   J W T   并 不 使 用   C o o k i e   ， 所 以 你 可 以 使 用 任 何 域 名 提 供 你 的   A P I   服 务 而 不 需 要 担 心 跨 域 资 源 共 享 问 不 需 要 担 心 跨 域 资 源 共 享 问 题 题 （ C O R S ） 方 式 二 方 式 二 跨 域 的 时 候 ， 可 以 把   J W T   放 在   P O S T   请 求 的 数 据 体 里 。 方 式 三 方 式 三 通 过   U R L   传 输 项 目 中 使 用 项 目 中 使 用   J W T 项 目 地 址 ： h t t p s : / / g i t h u b . c o m / y j d j i a y o u / j w t - d e m o T o k e n   和 和   J W T   的 区 别 的 区 别 相 同 ： 相 同 ： 都 是 访 问 资 源 的 令 牌 都 可 以 记 录 用 户 的 信 息 都 是 使 服 务 端 无 状 态 化 都 是 只 有 验 证 成 功 后 ， 客 户 端 才 能 访 问 服 务 端 上 受 保 护 的 资 源 区 别 ： 区 别 ： T o k e n ： 服 务 端 验 证 客 户 端 发 送 过 来 的   T o k e n   时 ， 还 需 要 查 询 数 据 库 获 取 用 户 信 息 ， 然 后 验 证   T o k e n   是 否 有 效 。 J W T ： 将   T o k e n   和   P a y l o a d   加 密 后 存 储 于 客 户 端 ， 服 务 端 只 需 要 使 用 密 钥 解 密 进 行 校 验 （ 校 验 也 是   J W T   自 己 实 现 的 ） 即 可 ， 不 需 要 查 询 或 者 减 少 查 询 数 据 库 ， 因 为   J W T   自 包 含 了 用 户 信 息 和 加 密 的 数 据 。 8 、 常 见 的 前 后 端 鉴 权 方 式 、 常 见 的 前 后 端 鉴 权 方 式 1 .   S e s s i o n - C o o k i e 2 .   T o k e n   验 证 （ 包 括   J W T ， S S O ） 3 .   O A u t h 2 . 0 （ 开 放 授 权 ） 9 、 常 见 的 加 密 算 法 、 常 见 的 加 密 算 法 h t t p : / / w w w . e x a m p l e . c o m / u s e r ? t o k e n = x x x
哈 希 算 法 ( H a s h   A l g o r i t h m ) 又 称 散 列 算 法 、 散 列 函 数 、 哈 希 函 数 ， 是 一 种 从 任 何 一 种 数 据 中 创 建 小 的 数 字 “ 指 纹 ” 的 方 法 。 哈 希 算 法 将 数 据 重 新 打 乱 混 合 ， 重 新 创 建 一 个 哈 希 值 。 哈 希 算 法 主 要 用 来 保 障 数 据 真 实 性 ( 即 完 整 性 ) ， 即 发 信 人 将 原 始 消 息 和 哈 希 值 一 起 发 送 ， 收 信 人 通 过 相 同 的 哈 希 函 数 来 校 验 原 始 数 据 是 否 真 实 。 哈 希 算 法 通 常 有 以 下 几 个 特 点 ： 2   的   1 2 8   次 方 为   3 4 0 2 8 2 3 6 6 9 2 0 9 3 8 4 6 3 4 6 3 3 7 4 6 0 7 4 3 1 7 6 8 2 1 1 4 5 6 ， 也 就 是   1 0   的   3 9   次 方 级 别 2   的   1 6 0   次 方 为   1 . 4 6 1 5 0 1 6 3 7 3 3 0 9 0 2 9 1 8 2 0 3 6 8 4 8 3 2 7 1 6 3 e + 4 8 ， 也 就 是   1 0   的   4 8   次 方 级 别 2   的   2 5 6   次 方 为   1 . 1 5 7 9 2 0 8 9 2 3 7 3 1 6 1 9 5 4 2 3 5 7 0 9 8 5 0 0 8 6 9   ×   1 0   的   7 7   次 方 ， 也 就 是   1 0   的   7 7   次 方 正 像 快 速 ： 原 始 数 据 可 以 快 速 计 算 出 哈 希 值 逆 向 困 难 ： 通 过 哈 希 值 基 本 不 可 能 推 导 出 原 始 数 据 输 入 敏 感 ： 原 始 数 据 只 要 有 一 点 变 动 ， 得 到 的 哈 希 值 差 别 很 大 冲 突 避 免 ： 很 难 找 到 不 同 的 原 始 数 据 得 到 相 同 的 哈 希 值 ， 宇 宙 中 原 子 数 大 约 在   1 0   的   6 0   次 方 到   8 0   次 方 之 间 ， 所 以   2 的   2 5 6   次 方 有 足 够 的 空 间 容 纳 所 有 的 可 能 ， 算 法 好 的 情 况 下 冲 突 碰 撞 的 概 率 很 低 ： 注 意 ： 注 意 ： 1 .   以 上 不 能 保 证 数 据 被 恶 意 篡 改 ， 原 始 数 据 和 哈 希 值 都 可 能 被 恶 意 篡 改 ， 要 保 证 不 被 篡 改 ， 可 以 使 用 R S A   公 钥 私 钥 方 案 ， 再 配 合 哈 希 值 。 2 .   哈 希 算 法 主 要 用 来 防 止 计 算 机 传 输 过 程 中 的 错 误 ， 早 期 计 算 机 通 过 前   7   位 数 据 第   8   位 奇 偶 校 验 码 来 保 障 （ 1 2 . 5 %   的 浪 费 效 率 低 ） ， 对 于 一 段 数 据 或 文 件 ， 通 过 哈 希 算 法 生 成   1 2 8 b i t   或 者   2 5 6 b i t   的 哈 希 值 ， 如 果 校 验 有 问 题 就 要 求 重 传 。 1 0 、 常 见 问 题 、 常 见 问 题 使 用 使 用   c o o k i e   时 需 要 考 虑 的 问 题 时 需 要 考 虑 的 问 题 因 为 存 储 在 客 户 端 ， 容 易 被 客 户 端 篡 改 ， 使 用 前 需 要 验 证 合 法 性 不 要 存 储 敏 感 数 据 ， 比 如 用 户 密 码 ， 账 户 余 额 使 用   h t t p O n l y   在 一 定 程 度 上 提 高 安 全 性 尽 量 减 少   c o o k i e   的 体 积 ， 能 存 储 的 数 据 量 不 能 超 过   4 k b 设 置 正 确 的   d o m a i n   和   p a t h ， 减 少 数 据 传 输 c o o k i e   无 法 跨 域 无 法 跨 域 一 个 浏 览 器 针 对 一 个 网 站 最 多 存   2 0   个 C o o k i e ， 浏 览 器 一 般 只 允 许 存 放   3 0 0   个 C o o k i e 移 动 端 对 移 动 端 对   c o o k i e   的 支 持 不 是 很 好 ， 而 的 支 持 不 是 很 好 ， 而   s e s s i o n   需 要 基 于 需 要 基 于   c o o k i e   实 现 ， 所 以 移 动 端 常 用 的 是 实 现 ， 所 以 移 动 端 常 用 的 是   t o k e n 使 用 使 用   s e s s i o n   时 需 要 考 虑 的 问 题 时 需 要 考 虑 的 问 题
将   s e s s i o n   存 储 在 服 务 器 里 面 ， 当 用 户 同 时 在 线 量 比 较 多 时 ， 这 些   s e s s i o n   会 占 据 较 多 的 内 存 ， 需 要 在 服 务 端 定 期 的 去 清 理 过 期 的   s e s s i o n 当 网 站 采 用 集 群 部 署 集 群 部 署 的 时 候 ， 会 遇 到 多 台   w e b   服 务 器 之 间 如 何 做   s e s s i o n   共 享 的 问 题 。 因 为   s e s s i o n   是 由 单 个 服 务 器 创 建 的 ， 但 是 处 理 用 户 请 求 的 服 务 器 不 一 定 是 那 个 创 建   s e s s i o n   的 服 务 器 ， 那 么 该 服 务 器 就 无 法 拿 到 之 前 已 经 放 入 到   s e s s i o n 中 的 登 录 凭 证 之 类 的 信 息 了 。 当 多 个 应 用 要 共 享   s e s s i o n   时 ， 除 了 以 上 问 题 ， 还 会 遇 到 跨 域 问 题 ， 因 为 不 同 的 应 用 可 能 部 署 的 主 机 不 一 样 ， 需 要 在 各 个 应 用 做 好   c o o k i e   跨 域 的 处 理 。 s e s s i o n I d   是 存 储 在 是 存 储 在   c o o k i e   中 的 ， 假 如 浏 览 器 禁 止 中 的 ， 假 如 浏 览 器 禁 止   c o o k i e   或 不 支 持 或 不 支 持   c o o k i e   怎 么 办 ？ 怎 么 办 ？   一 般 会 把   s e s s i o n I d   跟 在   u r l   参 数 后 面 即 重 写   u r l ， 所 以   s e s s i o n   不 一 定 非 得 需 要 靠   c o o k i e   实 现 移 动 端 对 移 动 端 对   c o o k i e   的 支 持 不 是 很 好 ， 而 的 支 持 不 是 很 好 ， 而   s e s s i o n   需 要 基 于 需 要 基 于   c o o k i e   实 现 ， 所 以 移 动 端 常 用 的 是 实 现 ， 所 以 移 动 端 常 用 的 是   t o k e n 使 用 使 用   t o k e n   时 需 要 考 虑 的 问 题 时 需 要 考 虑 的 问 题 如 果 你 认 为 用 数 据 库 来 存 储   t o k e n   会 导 致 查 询 时 间 太 长 ， 可 以 选 择 放 在 内 存 当 中 。 比 如   r e d i s   很 适 合 你 对   t o k e n   查 询 的 需 求 。 t o k e n   完 全 由 应 用 管 理 ， 所 以 它 可 以 避 开 同 源 策 略 完 全 由 应 用 管 理 ， 所 以 它 可 以 避 开 同 源 策 略 t o k e n   可 以 避 免 可 以 避 免   C S R F   攻 击 攻 击 ( 因 为 不 需 要 因 为 不 需 要   c o o k i e   了 了 ) 移 动 端 对 移 动 端 对   c o o k i e   的 支 持 不 是 很 好 ， 而 的 支 持 不 是 很 好 ， 而   s e s s i o n   需 要 基 于 需 要 基 于   c o o k i e   实 现 ， 所 以 移 动 端 常 用 的 是 实 现 ， 所 以 移 动 端 常 用 的 是   t o k e n 使 用 使 用   J W T   时 需 要 考 虑 的 问 题 时 需 要 考 虑 的 问 题 因 为   J W T   并 不 依 赖   C o o k i e   的 ， 所 以 你 可 以 使 用 任 何 域 名 提 供 你 的   A P I   服 务 而 不 需 要 担 心 跨 域 资 源 共 享 问 题 （ C O R S ） J W T   默 认 是 不 加 密 ， 但 也 是 可 以 加 密 的 。 生 成 原 始   T o k e n   以 后 ， 可 以 用 密 钥 再 加 密 一 次 。 J W T   不 加 密 的 情 况 下 ， 不 能 将 秘 密 数 据 写 入   J W T 。 J W T   不 仅 可 以 用 于 认 证 ， 也 可 以 用 于 交 换 信 息 。 有 效 使 用   J W T ， 可 以 降 低 服 务 器 查 询 数 据 库 的 次 数 。 J W T   最 大 的 优 势 是 服 务 器 不 再 需 要 存 储   S e s s i o n ， 使 得 服 务 器 认 证 鉴 权 业 务 可 以 方 便 扩 展 。 但 这 也 是   J W T   最 大 的 缺 点 ： 由 于 服 务 器 不 需 要 存 储   S e s s i o n   状 态 ， 因 此 使 用 过 程 中 无 法 废 弃 某 个   T o k e n   或 者 更 改   T o k e n   的 权 限 。 也 就 是 说 一 旦   J W T 签 发 了 ， 到 期 之 前 就 会 始 终 有 效 ， 除 非 服 务 器 部 署 额 外 的 逻 辑 。 J W T   本 身 包 含 了 认 证 信 息 ， 一 旦 泄 露 ， 任 何 人 都 可 以 获 得 该 令 牌 的 所 有 权 限 。 为 了 减 少 盗 用 ， J W T 的 有 效 期 应 该 设 置 得 比 较 短 。 对 于 一 些 比 较 重 要 的 权 限 ， 使 用 时 应 该 再 次 对 用 户 进 行 认 证 。 J W T   适 合 一 次 性 的 命 令 认 证 ， 颁 发 一 个 有 效 期 极 短 的   J W T ， 即 使 暴 露 了 危 险 也 很 小 ， 由 于 每 次 操 作 都 会 生 成 新 的 J W T ， 因 此 也 没 必 要 保 存   J W T ， 真 正 实 现 无 状 态 。 为 了 减 少 盗 用 ， J W T   不 应 该 使 用   H T T P   协 议 明 码 传 输 ， 要 使 用   H T T P S   协 议 传 输 。 使 用 加 密 算 法 时 需 要 考 虑 的 问 题 使 用 加 密 算 法 时 需 要 考 虑 的 问 题 绝 不 要 以 明 文 存 储 明 文 存 储 密 码 永 远 使 用 永 远 使 用   哈 希 算 法 哈 希 算 法   来 处 理 密 码 ， 绝 不 要 使 用 来 处 理 密 码 ， 绝 不 要 使 用   B a s e 6 4   或 其 他 编 码 方 式 来 存 储 密 码 ， 这 和 以 明 文 存 储 密 码 是 一 样 或 其 他 编 码 方 式 来 存 储 密 码 ， 这 和 以 明 文 存 储 密 码 是 一 样 的 ， 使 用 哈 希 ， 而 不 要 使 用 编 码 的 ， 使 用 哈 希 ， 而 不 要 使 用 编 码 。 编 码 以 及 加 密 ， 都 是 双 向 的 过 程 ， 而 密 码 是 保 密 的 ， 应 该 只 被 它 的 所 有 者 知 道 ，   这 个 过 程 必 须 是 单 向 的 。 哈 希 正 是 用 于 做 这 个 的 ， 从 来 没 有 解 哈 希 这 种 说 法 ，   但 是 编 码 就 存 在 解 码 ， 加 密 就 存 在 解 密 。 绝 不 要 使 用 弱 哈 希 或 已 被 破 解 的 哈 希 算 法 ， 像   M D 5   或   S H A 1   ， 只 使 用 强 密 码 哈 希 算 法 。 绝 不 要 以 明 文 形 式 显 示 或 发 送 密 码 ， 即 使 是 对 密 码 的 所 有 者 也 应 该 这 样 。 如 果 你 需 要   “ 忘 记 密 码 ”   的 功 能 ， 可 以 随 机 生 成 一 个 新 的   一 次 性 的 一 次 性 的 （ 这 点 很 重 要 ） 密 码 ， 然 后 把 这 个 密 码 发 送 给 用 户 。 分 布 式 架 构 下 分 布 式 架 构 下   s e s s i o n   共 享 方 案 共 享 方 案 1 .   s e s s i o n   复 制 复 制 任 何 一 个 服 务 器 上 的   s e s s i o n   发 生 改 变 （ 增 删 改 ） ， 该 节 点 会 把 这 个   s e s s i o n   的 所 有 内 容 序 列 化 ， 然 后 广 播 给 所 有 其 它 节 点 ， 不 管 其 他 服 务 器 需 不 需 要   s e s s i o n   ， 以 此 来 保 证   s e s s i o n   同 步
优 点 ： 优 点 ：   可 容 错 ， 各 个 服 务 器 间   s e s s i o n   能 够 实 时 响 应 。 缺 点 ： 缺 点 ：   会 对 网 络 负 荷 造 成 一 定 压 力 ， 如 果   s e s s i o n   量 大 的 话 可 能 会 造 成 网 络 堵 塞 ， 拖 慢 服 务 器 性 能 。 2 .   粘 性 粘 性   s e s s i o n   / I P   绑 定 策 略 绑 定 策 略 采 用 采 用   N g n i x   中 的 中 的   i p _ h a s h   机 制 ， 将 某 个 机 制 ， 将 某 个   i p 的 所 有 请 求 都 定 向 到 同 一 台 服 务 器 上 ， 即 将 用 户 与 服 务 器 绑 定 。 的 所 有 请 求 都 定 向 到 同 一 台 服 务 器 上 ， 即 将 用 户 与 服 务 器 绑 定 。   用 户 第 一 次 请 求 时 ， 负 载 均 衡 器 将 用 户 的 请 求 转 发 到 了   A   服 务 器 上 ， 如 果 负 载 均 衡 器 设 置 了 粘 性   s e s s i o n   的 话 ， 那 么 用 户 以 后 的 每 次 请 求 都 会 转 发 到   A   服 务 器 上 ， 相 当 于 把 用 户 和   A   服 务 器 粘 到 了 一 块 ， 这 就 是 粘 性   s e s s i o n   机 制 。 优 点 ： 优 点 ：   简 单 ， 不 需 要 对   s e s s i o n   做 任 何 处 理 。 缺 点 ： 缺 点 ：   缺 乏 容 错 性 ， 如 果 当 前 访 问 的 服 务 器 发 生 故 障 ， 用 户 被 转 移 到 第 二 个 服 务 器 上 时 ， 他 的   s e s s i o n   信 息 都 将 失 效 。 适 用 场 景 ： 适 用 场 景 ：   发 生 故 障 对 客 户 产 生 的 影 响 较 小 ； 服 务 器 发 生 故 障 是 低 概 率 事 件 。 实 现 方 式 ： 实 现 方 式 ：   以   N g i n x   为 例 ， 在   u p s t r e a m   模 块 配 置   i p _ h a s h   属 性 即 可 实 现 粘 性   s e s s i o n 。 3 .   s e s s i o n   共 享 （ 常 用 ） 共 享 （ 常 用 ） 使 用 分 布 式 缓 存 方 案 比 如   M e m c a c h e d   、 R e d i s   来 缓 存   s e s s i o n ， 但 是 要 求   M e m c a c h e d   或   R e d i s   必 须 是 集 群 把   s e s s i o n   放 到   R e d i s   中 存 储 ， 虽 然 架 构 上 变 得 复 杂 ， 并 且 需 要 多 访 问 一 次   R e d i s   ， 但 是 这 种 方 案 带 来 的 好 处 也 是 很 大 的 ： 实 现 了   s e s s i o n   共 享 ； 可 以 水 平 扩 展 （ 增 加   R e d i s   服 务 器 ） ； 服 务 器 重 启   s e s s i o n   不 丢 失 （ 不 过 也 要 注 意   s e s s i o n   在   R e d i s   中 的 刷 新 / 失 效 机 制 ） ； 不 仅 可 以 跨 服 务 器   s e s s i o n   共 享 ， 甚 至 可 以 跨 平 台 （ 例 如 网 页 端 和   A P P   端 ） 4 .   s e s s i o n   持 久 化 持 久 化 将   s e s s i o n   存 储 到 数 据 库 中 ， 保 证   s e s s i o n   的 持 久 化 优 点 ： 优 点 ：   服 务 器 出 现 问 题 ， s e s s i o n   不 会 丢 失 缺 点 ： 缺 点 ：   如 果 网 站 的 访 问 量 很 大 ， 把   s e s s i o n   存 储 到 数 据 库 中 ， 会 对 数 据 库 造 成 很 大 压 力 ， 还 需 要 增 加 额 外 的 开 销 维 护 数 据 库 。 只 要 关 闭 浏 览 器 只 要 关 闭 浏 览 器   ， ， s e s s i o n   真 的 就 消 失 了 ？ 真 的 就 消 失 了 ？ 不 对 。 对   s e s s i o n   来 说 ， 除 非 程 序 通 知 服 务 器 删 除 一 个   s e s s i o n ， 否 则 服 务 器 会 一 直 保 留 ， 程 序 一 般 都 是 在 用 户 做   l o g   o f f   的 时 候 发 个 指 令 去 删 除   s e s s i o n 。 然 而 浏 览 器 从 来 不 会 主 动 在 关 闭 之 前 通 知 服 务 器 它 将 要 关 闭 ， 因 此 服 务 器 根 本 不 会 有 机 会 知 道 浏 览 器 已 经 关 闭 ， 之 所 以 会 有 这 种 错 觉 ， 是 大 部 分   s e s s i o n   机 制 都 使 用 会 话   c o o k i e   来 保 存   s e s s i o n   i d ， 而 关 闭 浏 览 器 后 这 个   s e s s i o n   i d   就 消 失 了 ， 再 次 连 接 服 务 器 时 也 就 无 法 找 到 原 来 的   s e s s i o n 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理