day76

目录

jwt认证规则

全称:jwt:( json web token)是目前最流行的跨域身份验证解决方案。

优点:

  1. 数据库不需要存储token,所以服务器的 IO 操作会减少(没有IO写操作)
  2. 客户端存Token,服务器只存储签发与校验算法,执行效率高
  3. 签发与校验算法在多个服务器上可以直接统一,所以jwt认证规则下,服务器做集群非常便捷

突破点:

  1. token必须要有多个部分组成,有能反解的部分,也要有不能反解的部分 - jwt采用的都是三段式
  2. token中必须包含过期时间,保证token的安全性与时效性

jwt原理:

  1. jwt由 头.载荷.签名 三部分组成

  2. 每一部分数据都是一个json字典,头和载荷采用 base64 可逆加密算法加密,签名采用 HS256 不可逆加密

内容:

  1. 头(基本信息):可逆不可逆采用的加密算法、公司名称、项目组信息、开发者信息{"company": "小女孩",……}
  2. 载荷(核心信息):用户主键、用户账号、客户端设备信息、过期时间...{'pk': 1,……}
  3. 签名(安全信息):头的加密结果、载荷的加密结果、服务器的安全码(盐)...{"header": "..."……}

day76

用户权限关系RBAC(Role-BasedAccessControl)

用户权限关系 RBAC(Role-BasedAccessControl)
表:User、Group、Permission、UG关系表、UP关系表、GP关系表
传统的RBAC有两种:权限三表 => 权限五表(没有UP关系表)
Django中Auth组件采用的是 权限六表(在传统RBAC基础上增加UP关系表)
了解:基于Auth的权限管理认证模块(ThinkPHP)
重点:用户管理表,一定要在第一次数据库迁移时完成

安装jwt:pip install djangorestframework-jwt
然后执行迁移数据库命令

自定义User表

from django.contrib.auth.models import AbstractUser
class User(AbstractUser):
    mobile = models.CharField(max_length=11, verbose_name='电话号码', unique=True)

    class Meta:
        db_table = 'old_boy_user'
        verbose_name_plural = '用户表'

    def __str__(self):
        return self.username

day76

day76

day76

day76

对外提供router对象(router = SimpleRouter())

签名算法

  1. 头内容写死(可以为空{}):公司、项目组信息都是固定不变的

    => 将数据字典转化成json字符串,再将json字符串加密成base64字符串

  2. 载荷的内容:用户账号、客户端设备信息是由客户端提供,用户主键是客户端提供账号密码校验User表通过后才能确定,过期时间根据当前时间与配置的过期时间相结合产生

    => 将数据字典转化成json字符串,再将json字符串加密成base64字符串

  3. 签名的内容:先将头的加密结果,载荷的加密结果作为成员,再从服务器上拿安全码(不能让任何客户端知道),也可以额外包含载荷的部分(用户信息,设备信息)

    => 将数据字典转化成json字符串,再将json字符串不可逆加密成HS256字符串

  4. 将三个字符串用.连接产生三段式token

检验算法

  1. 从客户端提交的请求中拿到token,用 . 分割成三段(如果不是三段,非法)

  2. 头(第一段)可以不用解密

  3. 载荷(第二段)一定需要解密,先base64解密成json字符串,再转换成json字典数据

    // 用户键与用户账号查询User表确定用户是否存在

    // 设备信息用本次请求提交的设备信息比对,确定前后是否是同一设备,决定是否对用户做安全提示(eg:短信邮箱提示异地登录)(同样的安全保障还可以为IP、登录地点等)

    // 过期时间与当前时间比对,该token是否在有效时间内

  4. 签名(第三段)采用加密碰撞校验

  5. 前方算法都通过后,载荷校验得到的User对象,就是该token代表的登录用户(Django项目一般都会把登录用户存放在request.user中)

刷新算法

  1. 要在签发token的载荷中,额外添加两个时间信息:第一次签发token的时间,最多往后刷新的有效时间
  2. 每一请求携带token,不仅走校验算法验证token是否合法,还要额外请求刷新token的接口,完成token的刷新:校验规则与校验算法差不多,但是要将过期时间后移(没有超过有效时间,产生新token给客户端,如果超过了,刷新失败)
  3. 所以服务器不仅要配置过期时间,还需要配置最长刷新时间

++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++

跨域身份验证

  1. 用户向服务器发送用户名和密码。
  2. 验证服务器后,相关数据(如用户角色,登录时间等)将保存在当前会话中
  3. 服务器向用户返回session_id,session信息都会写入到用户的Cookie。
  4. 用户的每个后续请求都将通过在Cookie中取出session_id传给服务器。
  5. 服务器收到session_id并对比之前保存的数据,确认用户的身份。

day76

JWT的原则

JWT的原则是在服务器身份验证之后,将生成一个JSON对象并将其发送回用户,如下示例:

{

"UserName": "Zhangsan",

"Role": "Admin",

"Expire": "2020-01-01 00:00:00"

}

之后,当用户与服务器通信时,客户在请求中发回JSON对象。服务器仅依赖于这个JSON对象来标识用户。

为了防止用户篡改数据,服务器将在生成对象时添加签名

JWT的数据结构

该对象是一个很长的字符串,字符之间通过.分割为三个子串。

day76

JWT头

JWT头是一个描述JWT元数据的JSON对象,通常如下所示。

{

"alg": "HS256",

"typ": "JWT"

}

解释:上面的代码中,alg属性表示签名使用的算法,默认为HMAC SHA256(写为HS256);typ属性表示令牌的类型,JWT令牌统一写为JWT。

最后,使用Base64 URL算法将上述JSON对象转换为字符串保存

有效载荷

有效载荷,是JWT的主体内容部分,也是一个JSON对象,包含需要传递的数据。JWT指定七个默认字段供选择

iss:发行人
exp:到期时间
sub:主题
aud:用户
nbf:在此之前不可用
iat:发布时间
jti:JWT ID用于标识该JWT

除了上面默认的字段外,我们还可以自定义私有字段,如下:

{

"sub":"123123123",

"name":"Zhangsan",

"admin":true

}

注意:默认情况下JWT是未加密的,任何人都可以解读其内容,因此不要构建隐私信息字段,存放保密信息,以防止信息泄露

签名哈希

签名哈希,是对上面两部分数据签名,通过指定的算法生成哈希,以确保数据不会被篡改

首先,需要指定一个密码(secret)。该密码仅仅为了保存在服务器中,并且不能向用户公开,使用标头指定的签名算法(默认情况下是HMAC SH256)

根据公式生成签名。

HMACSHA256(base64UrlEncode(header) + "." + base64UrlEncode(payload),secret)

在计算出签名哈希后,JWT头,有效载荷和签名哈希的三个部分组合成一个字符串,每个部分用"."分隔,就构成整个JWT对象。

Base64URL算法

如前所述,JWT头和有效载荷序列化的算法都用到了Base64URL。该算法和常见Base64算法类似,稍有差别。

作为令牌的JWT可以放在URL中(例如api.example/?token=xxx)。 Base64中用的三个字符是"+","/"和"=",由于在URL中有特殊含义,因此Base64URL中对他们做了替换:"="去掉,"+"用"-"替换,"/"用"_"替换,这就是Base64URL算法,很简单把。

JWT的用法

客户端接收服务器返回的JWT,将其存储在Cookie或localStorage中。

此后,客户端将在与服务器交互中都会带JWT。如果将它存储在Cookie中,就可以自动发送,但是不会跨域,因此一般是将它放入HTTP请求的Header Authorization字段中。

Authorization: Bearer

当跨域时,也可以将JWT被放置于POST请求的数据主体中。

JWT问题和趋势

1、JWT默认不加密,但可以加密。生成原始令牌后,可以使用改令牌再次对其进行加密。

2、当JWT未加密方法是,一些私密数据无法通过JWT传输。

3、JWT不仅可用于认证,还可用于信息交换。善用JWT有助于减少服务器请求数据库的次数。

4、JWT的最大缺点是服务器不保存会话状态,所以在使用期间不可能取消令牌或更改令牌的权限。也就是说,一旦JWT签发,在有效期内将会一直有效。

5、JWT本身包含认证信息,因此一旦信息泄露,任何人都可以获得令牌的所有权限。为了减少盗用,JWT的有效期不宜设置太长。对于某些重要操作,用户在使用时应该每次都进行进行身份验证。

6、为了减少盗用和窃取,JWT不建议使用HTTP协议来传输代码,而是使用加密的HTTPS协议进行传输。

JWT安全隐患,攻击者绕过访问控制的利器

可以利用不同的算法类型进行修改算法,从而能绕过访问控制

可以不使用加密算法

HMAC算法

目录遍历

SQL注入等等

上一篇:day76


下一篇:915. Partition Array into Disjoint Intervals