跨域身份验证

Posted qq3279338858

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了跨域身份验证相关的知识,希望对你有一定的参考价值。

传统身份验证的方法session

当用户请求登录的时候,如果没有问题,我们在服务端生成一条记录,这个记录里可以说明一下登录的用户是谁,然后把这条记录的 ID 号发送给客户端,客户端收到以后把这个 ID 号存储在 Cookie 里,下次这个用户再向服务端发送请求的时候,可以带着这个 Cookie ,这样服务端会验证一个这个 Cookie 里的信息,看看能不能在服务端这里找到对应的记录,如果可以,说明用户已经通过了身份验证,就把用户请求的数据返回给客户端。
这些 Session 可能会存储在内存,磁盘,或者数据库里。我们可能需要在服务端定期的去清理过期的 Session 。

Token验证

客户端使用用户名跟密码请求登录
服务端收到请求,去验证用户名与密码
验证成功后,服务端会签发一个 Token,再把这个 Token 发送给客户端
客户端收到 Token 以后可以把它存储起来,比如放在 Cookie 里或者 Local Storage 里
客户端每次向服务端请求资源的时候需要带着服务端签发的 Token
服务端收到请求,然后去验证客户端请求里面带着的 Token,如果验证成功,就向客户端返回请求的数据

实施 Token 验证的方法挺多的,还有一些标准方法,比如 JWT

JWT

JWT 标准的 Token 有三个部分:
header
payload
signature

header 部分主要是两部分内容,一个是 Token 的类型,另一个是使用的算法

{
  "typ": "JWT",
  "alg": "HS256"
}

Payload

Payload 里面是 Token 的具体内容,这些内容里面有一些是标准字段,你也可以添加其它需要的内容。下面是标准字段:
iss:Issuer,发行者
sub:Subject,主题
aud:Audience,观众
exp:Expiration time,过期时间
nbf:Not before
iat:Issued at,发行时间
jti:JWT ID

{
 "iss": "ninghao.net",
 "exp": "1438955445",
}

Signature

JWT 的最后一部分是 Signature ,这部分内容有三个部分,先是用 Base64 编码的 header.payload ,再用加密算法加密一下,加密的时候要放进去一个 Secret ,这个相当于是一个密码,这个密码秘密地存储在服务端。

var encodedString = base64UrlEncode(header) + "." + base64UrlEncode(payload); 
HMACSHA256(encodedString, ‘secret‘);    //=>SwyHTEx_RQppr97g4J5lKXtabJecpejuef8AqKYMAJc

最后

把3个部分用.拼接起来,例如:

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJuaW5naGFvLm5ldCIsImV4cCI6IjE0Mzg5NTU0NDUiLCJuYW1lIjoid2FuZ2hhbyIsImFkbWluIjp0cnVlfQ.SwyHTEx_RQppr97g4J5lKXtabJecpejuef8AqKYMAJc

以上是关于跨域身份验证的主要内容,如果未能解决你的问题,请参考以下文章

如何使用 ASP.NET 和 iframe 跨域对用户进行身份验证?

JWT跨域身份验证解决方案

用于跨域身份验证的 JWT 令牌

跨域身份验证

使用 Windows 身份验证的跨域 SQL Server 登录

laravel 跨域身份验证 cookie 和过滤器