基于token进行登录,每次请求携带token

2024-04-26 09:28

本文主要是介绍基于token进行登录,每次请求携带token,希望对大家解决编程问题提供一定的参考价值,需要的开发者们随着小编来一起学习吧!

一,什么是token?

Token,也称为“令牌”,是服务端生成的一串字符串,以作客户端进行请求的一个令牌,当第一次登录后,服务器生成一个Token便将此Token返回给客户端,以后客户端只需带上这个Token前来请求数据即可,无需再次带上用户名和密码。比如如下形式:eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJhdWQiOiJEenUyMDIwMDEwMTEwMzEiLCJleHAiOjE3MTQwNTM2MDV9.VBIWPBzGJRhwCB_jhI-wjZF8ErEFfpQkZOUmFxYQs5k

二、为什么使用Token

传统验证用户身份的方式,大多为基于服务器验证的方式,即cookie+session的方式,由于HTTP协议是无状态的,导致程序需要验证每一次请求,从而辨别客户端的身份。

用户登录成功将其信息存入session中,用户每次请求都会将携带session id的cookie一起发送器服务端,进行校验,随着Web、应用程序、以及移动端的崛起,这种验证方式弊端逐渐显现,尤其是在可扩展性方面。

引发的问题比如用户增多导致内存开销较大、CORS(跨域资源共享)以及CSRF(跨站请求伪造)等。

引入Token验证机制后,请求会发送token而不再是发送cookie能有效够防止CSRF,即使在客户端使用cookie存储token,但cookie也只有存储功能,而不再具备验证功能,因此安全性得到了极大的提高。

而且只要token设计的足够复杂,除非用户泄露,否则几乎没有被破解的可能,加上token是有时效的,在有限的时间加上有限的算力,更是无懈可击,这也类似于加密资产比如比特币钱包对应的私钥,安全性极高。

另外Token可以有效减轻服务器的压力,减少频繁的查询数据库,使服务器更加健壮。

三、Token的使用

什么是jwt?

JWT(JSON WEB TOKEN):JSON网络令牌,JWT是一个轻便的安全跨平台传输格式,定义了一个紧凑的自包含的方式在不同实体之间安全传输信息(JSON格式)。它是在Web环境下两个实体之间传输数据的一项标准。实际上传输的就是一个字符串。广义上讲JWT是一个标准的名称;狭义上JWT指的就是用来传递的那个token字符串。

前端axios请求拦截器

service.interceptors.request.use(config => {if (localStorage.getItem('token') !== null && localStorage.getItem('token') !== "" && localStorage.getItem('token') !== undefined) {config.headers['Authorization'] = 'Bearer ' + localStorage.getItem('token'); // 假设你存储token在localStorage中config.headers['Content-Type'] = 'application/json;charset=UTF-8'config.headers['Accept'] = 'application/json'config.headers['Access-Control-Allow-Origin'] = '*'} else {//跳转登录router.push({path: '/login'})}return config
}, error => {return Promise.reject(error)
})

spring boot使用jwt

 <dependency><groupId>com.auth0</groupId><artifactId>java-jwt</artifactId><version>4.3.0</version>
</dependency>

utils

package com.dzu.utils;import cn.hutool.core.date.DateUtil;
import com.auth0.jwt.JWT;
import com.auth0.jwt.JWTVerifier;
import com.auth0.jwt.algorithms.Algorithm;
import com.auth0.jwt.interfaces.DecodedJWT;
import com.dzu.domain.User;import java.util.Date;
import java.util.List;public class JwtTokenUtils {private static final String SECRET = "dzuojsystem"; // 你的密钥,应该保密public static String createToken(User user) {//将用户名放进去作为载荷进行加密return JWT.create().withAudience(user.getUsername())//传入当前时间对象,并指定两小时后token过期//也可以指定时分秒天,比如offsetMinute就表示指定有效期为30分钟.withExpiresAt(DateUtil.offsetMinute(new Date(), 30))//使用密钥作为token的密钥.sign(Algorithm.HMAC256(SECRET));}public String parseTokenUsername(String token) {try {//验证tokenreturn JWT.decode(token).getAudience().get(0);} catch (Exception e) {//有异常就是验证不通过了throw new RuntimeException("token验证失败");}}//判断token是否有效且合法public boolean validateToken(String token) {// 创建token验证器Algorithm algorithm = Algorithm.HMAC256(SECRET);JWTVerifier verifier = JWT.require(algorithm).withIssuer("dzuojsystem").build();// 验证tokentry {DecodedJWT jwt = verifier.verify(token);return true;} catch (Exception e) {return false;}}
}

配置拦截器 (可以自定义异常抛出)

//省略导包,自行导入//这是拦截器的具体的方法
@Controller
@CrossOrigin
public class ProjectInterceptor implements HandlerInterceptor {private static final String SECRET = "dzuojsystem"; // 你的密钥,应该保密@Resourceprivate UserMapper userMapper;public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {//首先要确定访问的是一个方法if (!(handler instanceof HandlerMethod)) {//这里表示当访问的是一个html页面的时候就直接结束,当访问的是一个方法的时候才会继续向下运行//比如拦截"/**"请求,然后访问/aa.html此时就会直接结束,但是访问的是/aa这个方法的话,就会打印"开始拦截"return true;}//然后判断请求中是否有token//从请求头中获取tokenString token = request.getHeader("Authorization").substring(7);System.out.println("authorization----token:"+token);//主要用来判断字符串类型的变量是否为空if (StrUtil.isBlank(token) || token == null) {throw new Exception("无token,请重新登陆");}//然后解析token中的载荷,但这一步无法判断token是否过期String Username;try {//解析token中的主体中的数据,结果为[username],就是之前加密的数据List<String> ff = JWT.decode(token).getAudience();//解析token从中获取载荷中的第一个数据,如果这串代码运行异常则说明该token字符串有问题Username = ff.get(0);} catch (Exception e) {//此时说明token字符串已经被串改,导致解析失败throw new Exception("token验证失败,请重新登陆");}//通过用户名查询信息User user = userMapper.selectOne(new QueryWrapper<User>().eq("username", Username));if (user == null) {throw new Exception("用户不存在,该token不合法");}//验证token//通过添加密钥来创建验证对象,从而验证token是否过期,因为即使过期了,上面也能解析到数据JWTVerifier jwtVerifier = JWT.require(Algorithm.HMAC256(SECRET)).build();try {jwtVerifier.verify(token);} catch (JWTVerificationException e) {throw new Exception("token验证失败,请重新登陆");}return true;}public void postHandle(HttpServletRequest request, HttpServletResponse response, Object handler, ModelAndView modelAndView) throws Exception {}public void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler, Exception ex) throws Exception {}
}

@Controller
public class SpringMvcSupport implements WebMvcConfigurer {@Resourceprivate ProjectInterceptor projectInterceptor;public void addInterceptors(InterceptorRegistry registry) {//这里是注册拦截器registry.addInterceptor(projectInterceptor).addPathPatterns("/**")//放行接口,自己决定放行那些接口.excludePathPatterns("/user/register").excludePathPatterns("/user/login").excludePathPatterns("/email/sendMail").excludePathPatterns("/jwt/validateToken");}
}

记得前端登录的时候,要把生成的token存起来,例如localstorage里面。

大致的流程

后端生成token--->前端保存token------>通过前端的拦截器给请求头添加token----->后端通过拦截器验证token。

大致就是这样,可能会有错误,请包涵!

这篇关于基于token进行登录,每次请求携带token的文章就介绍到这儿,希望我们推荐的文章对编程师们有所帮助!



http://www.chinasem.cn/article/937206

相关文章

JSON Web Token在登陆中的使用过程

《JSONWebToken在登陆中的使用过程》:本文主要介绍JSONWebToken在登陆中的使用过程,具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不吝赐教... 目录JWT 介绍微服务架构中的 JWT 使用结合微服务网关的 JWT 验证1. 用户登录,生成 JWT2. 自定义过滤

Java进行文件格式校验的方案详解

《Java进行文件格式校验的方案详解》这篇文章主要为大家详细介绍了Java中进行文件格式校验的相关方案,文中的示例代码讲解详细,感兴趣的小伙伴可以跟随小编一起学习一下... 目录一、背景异常现象原因排查用户的无心之过二、解决方案Magandroidic Number判断主流检测库对比Tika的使用区分zip

Java使用Curator进行ZooKeeper操作的详细教程

《Java使用Curator进行ZooKeeper操作的详细教程》ApacheCurator是一个基于ZooKeeper的Java客户端库,它极大地简化了使用ZooKeeper的开发工作,在分布式系统... 目录1、简述2、核心功能2.1 CuratorFramework2.2 Recipes3、示例实践3

springboot security验证码的登录实例

《springbootsecurity验证码的登录实例》:本文主要介绍springbootsecurity验证码的登录实例,具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,... 目录前言代码示例引入依赖定义验证码生成器定义获取验证码及认证接口测试获取验证码登录总结前言在spring

基于Flask框架添加多个AI模型的API并进行交互

《基于Flask框架添加多个AI模型的API并进行交互》:本文主要介绍如何基于Flask框架开发AI模型API管理系统,允许用户添加、删除不同AI模型的API密钥,感兴趣的可以了解下... 目录1. 概述2. 后端代码说明2.1 依赖库导入2.2 应用初始化2.3 API 存储字典2.4 路由函数2.5 应

SpringBoot使用OkHttp完成高效网络请求详解

《SpringBoot使用OkHttp完成高效网络请求详解》OkHttp是一个高效的HTTP客户端,支持同步和异步请求,且具备自动处理cookie、缓存和连接池等高级功能,下面我们来看看SpringB... 目录一、OkHttp 简介二、在 Spring Boot 中集成 OkHttp三、封装 OkHttp

Python使用date模块进行日期处理的终极指南

《Python使用date模块进行日期处理的终极指南》在处理与时间相关的数据时,Python的date模块是开发者最趁手的工具之一,本文将用通俗的语言,结合真实案例,带您掌握date模块的六大核心功能... 目录引言一、date模块的核心功能1.1 日期表示1.2 日期计算1.3 日期比较二、六大常用方法详

Python使用DrissionPage中ChromiumPage进行自动化网页操作

《Python使用DrissionPage中ChromiumPage进行自动化网页操作》DrissionPage作为一款轻量级且功能强大的浏览器自动化库,为开发者提供了丰富的功能支持,本文将使用Dri... 目录前言一、ChromiumPage基础操作1.初始化Drission 和 ChromiumPage

Jackson库进行JSON 序列化时遇到了无限递归(Infinite Recursion)的问题及解决方案

《Jackson库进行JSON序列化时遇到了无限递归(InfiniteRecursion)的问题及解决方案》使用Jackson库进行JSON序列化时遇到了无限递归(InfiniteRecursi... 目录解决方案‌1. 使用 @jsonIgnore 忽略一个方向的引用2. 使用 @JsonManagedR

最新Spring Security实战教程之表单登录定制到处理逻辑的深度改造(最新推荐)

《最新SpringSecurity实战教程之表单登录定制到处理逻辑的深度改造(最新推荐)》本章节介绍了如何通过SpringSecurity实现从配置自定义登录页面、表单登录处理逻辑的配置,并简单模拟... 目录前言改造准备开始登录页改造自定义用户名密码登陆成功失败跳转问题自定义登出前后端分离适配方案结语前言