本文共 5633 字，大约阅读时间需要 18 分钟。

背景

公司正在进行一个旧项目权鉴改造。目标是让任意一端登录（web、app、h5）后，可以携带对应的token来请求访问后台服务资源。

达到目的

用户通过任意一端登录后，可以获得对应的token，并利用这个token来访问后台服务资源。

传统认证流程

互联网服务的用户认证一般遵循以下流程：

传统模式的问题

这种认证模式存在以下问题：

Session共享问题的解决方法

针对Session共享问题，可以采取以下解决方法：

Cookie Based实现方式

JWT（JSON Web Tokens）

JWT是一种基于token的认证方式，服务端不对token进行存储，而是通过签名算法验证并解密token。

传统授权流程

公钥私钥授权流程

JWT验证流程

改造代码落地

旧代码

@GetMapping("/user")
public Object list(Principal user, String sso_cookie) {
    if (verifyCookie) {
        String ssoCookie = SpringUtil.getSsoCookie(user);
        if (StringUtil.isBlank(sso_cookie) || !sso_cookie.equals(ssoCookie)) {
            throw new BusinessException(ResultCode.TOKEN_INVALID);
        }
    }
    return user;
}

新代码

private LoginVo packetTokenVo(LoginVo tokenVo, LoginDto dto) {
    if (StringUtils.isNotBlank(dto.getClient())) {
        String orgId = dto.getOrgId() == null ? null : dto.getOrgId().toString();
        int userType = dto.getUsertype() == null ? 0 : Integer.parseInt(dto.getUsertype());
        JwtAccessToken jwtAccessToken = new JwtAccessToken(dto.getUserName(), orgId, dto.getIdCard(), 1, dto.getClient(), userType);
        String accessTokenStr = JwtUtil.jwtAccessTokenHM256(jwtAccessToken, JwtUtil.SECRET);
        JwtRefreshToken jwtRefreshToken = new JwtRefreshToken(dto.getUserName(), dto.getIdCard(), 1, dto.getClient(), userType, orgId);
        String refreshTokenStr = JwtUtil.jwtRefreshTokenHM256(jwtRefreshToken, JwtUtil.SECRET);
        cacheAccessTokenAndRefreshToken(atkey, accessTokenStr, rtkey, refreshTokenStr);
        tokenVo.setAccessToken(accessTokenStr);
        tokenVo.setRefreshToken(refreshTokenStr);
    }
    return tokenVo;
}

@GetMapping("/validate")
public Object validate(String jwt, String sso_cookie) {
    if (verifyCookie) {
        JwtToken rawJwtToken = JwtUtil.unJwtToken(jwt);
        if (rawJwtToken == null || StringUtils.isEmpty(rawJwtToken.getClientId())) {
            throw new BusinessException(ResultCode.TOKEN_INVALID);
        }
        String accessKeyStr = TokenKeyUtil.getAccessTokenKey(verifyJwtToken.getClientId(), verifyJwtToken.getAppType(), verifyJwtToken.getUserId(), verifyJwtToken.getOrgId());
        Long validation = (Long) redisTemplate.execute(validateAccessTokenScript, Arrays.asList(accessKeyStr), jwt);
        if (!accessKeyStr.equals(jwt)) {
            throw new BusinessException(ResultCode.TOKEN_INVALID);
        }
    }
    return jwt;
}

加密解密代码

生成JWT token

public static String jwtAccessTokenHM256(JwtAccessToken jwtAccessToken, String secret) {
    try {
        Algorithm algorithm = Algorithm.HMAC256(secret);
        String token = JWT.create()
                .withClaim("username", jwtAccessToken.getUsername())
                .withClaim("userId", jwtAccessToken.getUserId())
                .withClaim("orgId", jwtAccessToken.getOrgId())
                .withClaim("appType", jwtAccessToken.getAppType())
                .withClaim("clientId", jwtAccessToken.getClientId())
                .withClaim("tokenType", jwtAccessToken.getTokenType())
                .withClaim("userType", jwtAccessToken.getUserType())
                .withIssuer(ISSUER)
                .withIssuedAt(new Date())
                .sign(algorithm);
        return token;
    } catch (Exception exception) {
        logger.error("jwt处理异常:", exception);
        throw new RuntimeException();
    }
}

解密JWT token

public static JwtToken unJwtToken(String token) {
    try {
        DecodedJWT jwt = JWT.decode(token);
        Map
   
     claimMap = jwt.getClaims();
        String username = claimMap.get("username").asString();
        String userId = claimMap.get("userId").asString();
        String orgId = claimMap.get("orgId").asString();
        int appType = claimMap.get("appType").asInt();
        String clientId = claimMap.get("clientId").asString();
        String tokenType = claimMap.get("tokenType").asString();
        int userType = claimMap.get("userType").asInt();
        JwtToken jwtToken = null;
        if (TokenType.ACCESS_TOKEN.equals(tokenType)) {
            jwtToken = new JwtAccessToken(username, orgId, userId, appType, clientId, userType);
        } else if (TokenType.REFRESH_TOKEN.equals(tokenType)) {
            jwtToken = new JwtRefreshToken(username, userId, appType, clientId, userType, orgId);
        }
        return jwtToken;
    } catch (Exception e) {
        logger.error("jwt处理异常:", e);
        throw new BusinessException("jwt解析错误");
    }
}
   

总结

JWT实际上定义了一种数据加密与签名的规范，可以实现单点登录和数据传输及验签功能。该方案无法传递敏感信息（如密码），因为JWT中的部分内容可以解密，但不能修改。