淺談node使用jwt生成的token應該存在哪裡

答:通常存儲在客戶端裡。

jwt 即 JSON Web Token,是一種認證協議,一般用來校驗請求的身份信息和身份權限。

早上逛某乎的時候,遇到一位同學在問這個問題,很好奇jwt的存儲位置。剛好前段時間在學習此內容,不請自邀,厚顏強答。
最開始我也很好奇這個token怎麼保存,還差點想搞個redis存儲這個token。

後來查閱資料才知道,原來這個token,服務端是可以不保存的。隻需要客戶端保存好就行,無論什麼保持方式,甚至你讓用戶寫紙條揣兜裡都可以!

那這個token是怎麼工作的呢?

先來說說需要服務端存儲的操作,即傳統的session會話的做法。

首先要做用戶登陸,先要在服務端維護一個登陸表,這個登陸表可以放在緩存裡,也可以放進數據庫裡。
當用戶登陸的時候,把用戶信息寫入這個登陸表,然後導出一個登陸id,也就是所謂的session,把這個session返回給客戶的,讓客戶端下次請求把這個信息帶上來。

對於前端的小夥伴來說,這個過程通常無感知,後端的老哥們使用一個叫set-cookie的http頭字段,自己把數據寫入瀏覽器cookie裡瞭。然後請求的時候,瀏覽器又會自己把cookie寫進請求頭裡面。

當客戶端請求進入服務端時,服務端拿到cookie裡面的session,然後到登陸表裡面去查用戶信息,校驗用戶權限,然後即可完成正常的業務交互。

誒,那現在我因為各種亂七八糟的原因,不想維護一個登錄表瞭,想想要怎麼搞?
簡單呀,直接把用戶信息發給客戶端,讓客戶端每次把用戶信息都帶過來,這樣請求一進來,連表都不用查,直接就知道是哪個用戶在請求。

但是這樣子,用戶的信息都曝光瞭,那些中間人呀,最喜歡這種耿直請求瞭,他們直接拿個凳子坐在你服務器端口,坐個幾天,你數據庫裡的全傢老表就被別人扒個清清楚楚。

這樣肯定不行,那怎麼辦?

加個密再混個淆唄,這樣老哥們拿到你的token,一時半會也一臉懵逼,大概率會大大咧咧地走瞭,隻留下少部分有備(KPI)而來的老哥在苦苦尋求破解。

而你在服務端一解密,你就拿到用戶信息瞭,同樣的,你把過期時間也寫進密文裡面,遇到過期就401跳登錄頁。這樣,一個不需要後端存儲登錄憑證的方案就出爐咯。

這就是jwt最基本的工作原理:就是把身份信息交給客戶端保管。

jwt生成的token由header、payload、signature三部分組成,這三個部分用小數點“.”分隔開。

header,也就是頭部信息,是描述這個token基本信息,是一個json格式:

{
    "alg":"HS256",
    "typ":"JWT"
}

alg代表的是後面signature簽名部分的生成加密算法,typ表示該token是jwt類型。

payload,就是你的那些用戶數據啦,也是一個json格式。不過jwt不建議將敏感數據放進裡面,因為規范裡,payload和header一樣,僅僅隻是做一次base64編碼後顯示在token上。

signature,是這個token的簽名,通常情況下是將前面的header和payload加上一個你自己定義的私鑰字符串一起加密生成的字符串。

因為前面說瞭,jwt僅僅是將payload的內容做一次base64編碼,所以那些攻擊者老哥要改你的內容還是很簡單的,但是老哥們不知道你的私鑰啊,改瞭之後沒法生成正確的簽名,用加密的方式再次對請求進來的header.payload進行校驗,發現跟signature對不上,這時候你就可以很清楚知道,有人在搞事情,直接返回個500假裝服務器掛瞭。
如果想更安全,建議全程使用https協議進行請求通信。

當然,你已經瞭解瞭這個工作原理,自己搞一套惡心人的規范,也不是不行,比如,把payload再加一次密然後gzip下等等。

那,采用jwt的好處都有啥?

第一點,自然是服務端不需要維護一個登陸表瞭,節省空間,特別是用戶多的情況。
第二點,拓展簡單,前提是你不搞事情,老老實實遵守采用json格式去表述你的內容。
第三點,無狀態,隻要服務端支持解析,就可以開展業務,不需要專門搞個機制去共享session,方便加機子。
第四點,支持各種各樣的客戶端,不支持cookie也能玩。
壞處嘛,自然就是每次請求都要把這些數據帶來帶去的,肯定是增加瞭請求內容的。而且,每次請求進來你都要去校驗,去拿header和paylaod加一次密與signature校驗,也會增加請求的處理時間。這個與傳統操作相比,其實是一個時間與空間之間的權衡問題,最後,還是看你選擇咯。

到此這篇關於淺談node使用jwt生成的token應該存在哪裡的文章就介紹到這瞭,更多相關jwt生成的token存哪裡內容請搜索WalkonNet以前的文章或繼續瀏覽下面的相關文章希望大傢以後多多支持WalkonNet! 

推薦閱讀: