Spring Cloud OAuth2和JWT保护微服务.docxVIP

采用 Spring Security AOuth2 和 JWT 的方式，避免每次请求都需要远程调度Uaa 服务。采用 Spring Security OAuth2 和 JWT 的方式，Uaa 服务只验证一次，返回 JWT。返回的 JWT 包含了用户的所有信息，包括权限信息。 什么是JWT？ JSON Web Token（JWT）是一种开放的标准（RFC 7519），JWT 定义了一种紧凑且自包含的标准，该标准旨在将各个主体的信息包装为 JSON 对象。主体信息是通过数字签名进行加密和验证的。常使用 HMAC 算法或 RSA（公钥/ 私钥的非对称性加密）算法对 JWT 进行签名，安全性很高。 JWT 特点： 紧凑型：数据体积小，可通过 POST 请求参数或 HTTP 请求头发送。 自包含：JWT 包含了主体的所有信息，避免了每个请求都需要向 Uaa 服务验证身份，降低了服务器的负载。 JWT 的结构 JWT 结构： Header（头） Payload（有效载荷） Signature（签名） 因此，JWT 的通常格式是：xxxxx.yyyyy.zzzzz Header Header 通常是由两部分组成：令牌的类型（即JWT）和使用的算法类型，如HMAC、SHA256 和 RSA。例如: { { typ: JWT, alg: HS256 } 将 Header 用 Base64 编码作为 JWT 的第一部分。 Payload 这是 JWT 的第二部分，包含了用户的一些信息和Claim（声明、权利）。有 3 类型的 Claim：保留、公开和私人。 { { sub: 123456789, name: John Doe, admin: true } 将 Payload 用 Base64 编码作为 JWT 的第一部分。 Signature 要创建签名部分，需要将 Base64 编码后的 Header、Payload 和秘钥进行签名，一个典型的格式如下: HMACSHA256 HMACSHA256( base64UrlEncode(header) + . + base64UrlEncode(payload), secret ) 如何使用JWT 认证流程图如下，客户端获取 JWT 后，以后每次请求都不需要再通过 Uaa 服务来判断该请求的用户以及该用户的权限。在微服务中，可以利用 JWT 实现单点登录。 案例工程架构 三个工程： eureka-server：注册服务中心，端口 8761。这里不再演示搭建。 auth-service：负责授权，授权需要用户提供客户端的 clientId 和 password， 以及授权用户的 username 和password。这些信息准备无误之后， auth-service 返回 JWT，该 JWT 包含了用户的基本信息和权限点信息，并通过 RSA 加密。 user-service：作为资源服务，它的资源以及被保护起来了，需要相应的权限才能访问。user-service 服务得到用户请求的 JWT 后，先通过公钥解密 JWT， 得到该 JWT 对应的用户的信息和用户的权限信息，再判断该用户是否有权限访问该资源。 工程架构图: 构建 auth-service 工程 新建 Spring Boot 工程，取名为 auth-service，其完整 pom.xml 文件为. ? ?xml version=1.0 encoding=UTF-8? project xmlns= /POM/4.0.0 xmlns:xsi= /2001/XMLSchema-instance xsi:schemaLocation= /POM/4.0.0 /xsd/maven-4.0.0.xsd modelVersion4.0.0/modelVersion parent groupIdorg.springframework.boot/groupId artifactIdspring-boot-starter-parent/artifactId version1.5.3.RELEASE/version relativePath/ !-- lookup parent from repository -- /parent groupIdcom.example/groupId artifactIdauth-service/artifactId version0.0.1-SNAPSHOT/version nameauth-service/name descriptionDemo project for Spring Boot/description properties java.version1.8/java.version spring-clou