什么是json web token？
json web token（jwt）是一个开放标准（rfc 7519），它定义了一种紧凑且自包含的方式，用于在各方之间以json方式安全地传输信息。由于此信息是经过数字签名的，因此可以被验证和信任。可以使用秘密（使用hmac算法）或使用rsa或ecdsa的公钥/私钥对对jwt进行签名。
直白的讲jwt就是一种用户认证（区别于session、cookie）的解决方案。
出现的背景
众所周知，在jwt出现之前，我们已经有session、cookie来解决用户登录等认证问题，为什么还要jwt呢？
这里我们先了解一下session，cookie。
session
熟悉session运行机制的同学都知道，用户的session数据以file或缓存（redis、memcached）等方式存储在服务器端，客户端浏览器cookie中只保存sessionid。服务器端session属于集中存储，数量不大的情况下，没什么问题，当用户数据逐渐增多到一程度，就会给服务端管理和维护带来大的负担。
session有两个弊端：
1、无法实现跨域。
2、由于session数据属于集中管理里，量大的时候服务器性能是个问题。
优点：
1、session存在服务端，数据相对比较安全。
2、session集中管理也有好处，就是用户登录、注销服务端可控。
cookie
cookie也是一种解决网站用户认证的实现方式，用户登录时，服务器会发送包含登录凭据的cookie到用户浏览器客户端，浏览器会将cookie的key/value保存用户本地（内存或硬盘），用户再访问网站，浏览器会发送cookie信息到服务器端，服务器端接收cookie并解析来维护用户的登录状态。
cookie避免session集中管理的问题，但也存在弊端：
1、跨域问题。
2、数据存储在浏览器端，数据容易被窃取及被csrf攻击，安全性差。
优点：
1、相对于session简单，不用服务端维护用户认证信息。
2、数据持久性。
jwt
jwt通过json传输，php、java、golang等很多语言支持，通用性比较好，不存在跨域问题。传输数据通过数据签名相对比较安全。客户端与服务端通过jwt交互，服务端通过解密token信息，来实现用户认证。不需要服务端集中维护token信息，便于扩展。当然jwt也有其缺点。
缺点：
1、用户无法主动登出，只要token在有效期内就有效。这里可以考虑redis设置同token有效期一直的黑名单解决此问题。
2、token过了有效期，无法续签问题。可以考虑通过判断旧的token什么时候到期，过期的时候刷新token续签接口产生新token代替旧token。
jwt设置有效期
可以设置有效期，加入有效期是为了增加安全性，即token被黑客截获，也只能攻击较短时间。设置有效期就会面临token续签问题，解决方案如下
通常服务端设置两个token
jwt构成：
jwt使用
这里推荐个使用比较多的开源项目[github.com/dgrijalva/jwt-go]()，更多文档。
示例：
我要评论
package main
import (
"fmt"
"github.com/dgrijalva/jwt-go"
"time"
)
const (
secretkey = "243223ffslsfsldfl412fdsfsdf"//私钥
)
//自定义claims
type customclaims struct {
userid int64
jwt.standardclaims
}
func main() {
//生成token
maxage:=60*60*24
customclaims :=&customclaims{
userid: 11,//用户id
standardclaims: jwt.standardclaims{
expiresat: time.now().add(time.duration(maxage)*time.second).unix(), // 过期时间，必须设置
issuer:"jerry", // 非必须，也可以填充用户名，
},
}
//采用hmac sha256加密算法
token:=jwt.newwithclaims(jwt.signingmethodhs256, customclaims)
tokenstring,err:= token.signedstring([]byte(secretkey))
if err!=nil {
fmt.println(err)
}
fmt.printf("token: %v\n", tokenstring)
//解析token
ret,err :=parsetoken(tokenstring)
if err!=nil {
fmt.println(err)
}
fmt.printf("userinfo: %v\n", ret)
}
//解析token
func parsetoken(tokenstring string)(*customclaims,error) {
token, err := jwt.parsewithclaims(tokenstring, &customclaims{}, func(token *jwt.token) (interface{}, error) {
if _, ok := token.method.(*jwt.signingmethodhmac); !ok {
return nil, fmt.errorf("unexpected signing method: %v", token.header["alg"])
}
return []byte(secretkey), nil
})
if claims, ok := token.claims.(*customclaims); ok && token.valid {
return claims,nil
} else {
return nil,err
}
}
运行结果：
token: eyjhbgcioijiuzi1niisinr5cci6ikpxvcj9.eyjvc2vyswqiojexlcjlehaioje1ota5mtk1ndasimlzcyi6implcnj5in0.fppmbbhrrs4wd5wen73vypovtzycorn2jzlk6jrjegk
userinfo: &{11 { 1590919540 0 jerry 0 }}
以上用到了customclaims，也可以用简单的方法
示例
package main
import (
"fmt"
"github.com/dgrijalva/jwt-go"
"time"
)
const (
secretkey = "243223ffslsfsldfl412fdsfsdf"//私钥
)
//自定义claims
type customclaims struct {
userid int64
jwt.standardclaims
}
func main() {
//生成token
maxage:=60*60*24
// create the claims
//claims := &jwt.standardclaims{
// // expiresat: time.now().add(time.duration(maxage)*time.second).unix(), // 过期时间，必须设置,
// // issuer: "jerry",// 非必须，也可以填充用户名，
// //}
//或者用下面自定义claim
claims := jwt.mapclaims{
"id": 11,
"name": "jerry",
"exp": time.now().add(time.duration(maxage)*time.second).unix(), // 过期时间，必须设置,
}
token := jwt.newwithclaims(jwt.signingmethodhs256, claims)
tokenstring, err := token.signedstring([]byte(secretkey))
if err!=nil {
fmt.println(err)
}
fmt.printf("token: %v\n", tokenstring)
//解析token
ret,err :=parsetoken(tokenstring)
if err!=nil {
fmt.println(err)
}
fmt.printf("userinfo: %v\n", ret)
}
//解析token
func parsetoken(tokenstring string)(jwt.mapclaims,error) {
token, err := jwt.parse(tokenstring, func(token *jwt.token) (interface{}, error) {
// don't forget to validate the alg is what you expect:
if _, ok := token.method.(*jwt.signingmethodhmac); !ok {
return nil, fmt.errorf("unexpected signing method: %v", token.header["alg"])
}
// hmacsamplesecret is a []byte containing your secret, e.g. []byte("my_secret_key")
return []byte(secretkey), nil
})
if claims, ok := token.claims.(jwt.mapclaims); ok && token.valid {
return claims,nil
} else {
return nil,err
}
}
运行结果类似
token: eyjhbgcioijiuzi1niisinr5cci6ikpxvcj9.eyjlehaioje1ota5mzuzmdusimlkijoxmswibmftzsi6implcnj5in0.fape0iioee_tqomcthbnthuvgwihpek0rm-9upicvpu
userinfo: map[exp:1.590935305e+09 id:11 name:jerry]
小结：
参考资料
到此这篇关于golang之jwt实现的示例代码的文章就介绍到这了,更多相关golang jwt实现内容请搜索移动技术网以前的文章或继续浏览下面的相关文章希望大家以后多多支持移动技术网！
如对本文有疑问， 点击进行留言回复！！
网友评论