最近在做項目開始，涉及到服務(wù)器與安卓之間的接口開發(fā)，在此開發(fā)過程中發(fā)現(xiàn)了安卓與一般瀏覽器不同，安卓在每次發(fā)送請求的時候并不會帶上上一次請求的SessionId，導(dǎo)致服務(wù)器每次接收安卓發(fā)送的請求訪問時都新建一個Session進行處理，無法通過傳統(tǒng)的綁定Session來進行保持登錄狀態(tài)和通訊狀態(tài)。

基于傳統(tǒng)方法無法判斷安卓的每次請求訪問狀態(tài)，故查詢資料了解到Token，特殊的身份證驗證。以下是網(wǎng)上搜尋資料所得，作為學(xué)習(xí)總結(jié)資料。

令牌是一種能夠控制站點占有媒體的特殊幀，以區(qū)別數(shù)據(jù)幀及其他控制幀。token其實說的更通俗點可以叫暗號，在一些數(shù)據(jù)傳輸之前，要先進行暗號的核對，不同的暗號被授權(quán)不同的數(shù)據(jù)操作，下文我們就來詳細(xì)的介紹一下關(guān)于基于 Token 的身份驗證的教程

最近了解下基于 Token 的身份驗證，跟大伙分享下。很多大型網(wǎng)站也都在用，比如 Facebook，Twitter，Google+，Github 等等，比起傳統(tǒng)的身份驗證方法，Token 擴展性更強，也更安全點，非常適合用在 Web 應(yīng)用或者移動應(yīng)用上。Token 的中文有人翻譯成 “令牌”，我覺得挺好，意思就是，你拿著這個令牌，才能過一些關(guān)卡。

傳統(tǒng)身份驗證的方法

HTTP 是一種沒有狀態(tài)的協(xié)議，也就是它并不知道是誰是訪問應(yīng)用。這里我們把用戶看成是客戶端，客戶端使用用戶名還有密碼通過了身份驗證，不過下回這個客戶端再發(fā)送請求時候，還得再驗證一下。

解決的方法就是，當(dāng)用戶請求登錄的時候，如果沒有問題，我們在服務(wù)端生成一條記錄，這個記錄里可以說明一下登錄的用戶是誰，然后把這條記錄的 ID 號發(fā)送給客戶端，客戶端收到以后把這個 ID 號存儲在 Cookie 里，下次這個用戶再向服務(wù)端發(fā)送請求的時候，可以帶著這個 Cookie ，這樣服務(wù)端會驗證一個這個 Cookie 里的信息，看看能不能在服務(wù)端這里找到對應(yīng)的記錄，如果可以，說明用戶已經(jīng)通過了身份驗證，就把用戶請求的數(shù)據(jù)返回給客戶端。Cookie里面存的是sessionID是session記錄的id.

上面說的就是 Session，我們需要在服務(wù)端存儲為登錄的用戶生成的 Session ，這些 Session 可能會存儲在內(nèi)存，磁盤，或者數(shù)據(jù)庫里。我們可能需要在服務(wù)端定期的去清理過期的 Session 。

基于 Token 的身份驗證方法

使用基于 Token 的身份驗證方法，在服務(wù)端不需要存儲用戶的登錄記錄。大概的流程是這樣的：

客戶端使用用戶名跟密碼請求登錄

服務(wù)端收到請求，去驗證用戶名與密碼

驗證成功后，服務(wù)端會簽發(fā)一個 Token，再把這個 Token 發(fā)送給客戶端

客戶端收到 Token 以后可以把它存儲起來，比如放在 Cookie 里或者 Local Storage 里

客戶端每次向服務(wù)端請求資源的時候需要帶著服務(wù)端簽發(fā)的 Token

服務(wù)端收到請求，然后去驗證客戶端請求里面帶著的 Token，如果驗證成功，就向客戶端返回請求的數(shù)據(jù)

JWT

實施 Token 驗證的方法挺多的，還有一些標(biāo)準(zhǔn)方法，比如 JWT，讀作：jot ，表示：JSON Web Tokens 。JWT 標(biāo)準(zhǔn)的 Token 有三個部分：

header

payload

signature

中間用點分隔開，并且都會使用 Base64 編碼，所以真正的 Token 看起來像這樣：

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJuaW5naGFvLm5ldCIsImV4cCI6IjE0Mzg5NTU0NDUiLCJuYW1lIjoid2FuZ2hhbyIsImFkbWluIjp0cnVlfQ.SwyHTEx_RQppr97g4J5lKXtabJecpejuef8AqKYMAJc

Header

header 部分主要是兩部分內(nèi)容，一個是 Token 的類型，另一個是使用的算法，比如下面類型就是 JWT，使用的算法是 HS256。

{ 'typ': 'JWT', 'alg': 'HS256'}

上面的內(nèi)容要用 Base64 的形式編碼一下，所以就變成這樣：

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9

Payload

Payload 里面是 Token 的具體內(nèi)容，這些內(nèi)容里面有一些是標(biāo)準(zhǔn)字段，你也可以添加其它需要的內(nèi)容。

下面是標(biāo)準(zhǔn)字段：

iss：Issuer，發(fā)行者 sub：Subject，主題 aud：Audience，觀眾 exp：Expiration time，過期時間 nbf：Not before iat：Issued at，發(fā)行時間 jti：JWT ID

比如下面這個 Payload ，用到了 iss 發(fā)行人，還有 exp 過期時間。另外還有兩個自定義的字段，一個是 name ，還有一個是 admin 。

{ 'iss': 'ninghao.net', 'exp': '1438955445', 'name': 'wanghao', 'admin': true}

使用 Base64 編碼以后就變成了這個樣子：

eyJpc3MiOiJuaW5naGFvLm5ldCIsImV4cCI6IjE0Mzg5NTU0NDUiLCJuYW1lIjoid2FuZ2hhbyIsImFkbWluIjp0cnVlfQ

Signature

JWT 的最后一部分是 Signature ，這部分內(nèi)容有三個部分，先是用 Base64 編碼的 header.payload ，再用加密算法加密一下，加密的時候要放進去一個 Secret ，這個相當(dāng)于是一個密碼，這個密碼秘密地存儲在服務(wù)端。

header

payload

secret

var encodedString = base64UrlEncode(header) + '.' + base64UrlEncode(payload);

HMACSHA256(encodedString, ’secret’);

處理完成以后看起來像這樣：

SwyHTEx_RQppr97g4J5lKXtabJecpejuef8AqKYMAJc

最后這個在服務(wù)端生成并且要發(fā)送給客戶端的 Token 看起來像這樣：

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJuaW5naGFvLm5ldCIsImV4cCI6IjE0Mzg5NTU0NDUiLCJuYW1lIjoid2FuZ2hhbyIsImFkbWluIjp0cnVlfQ.SwyHTEx_RQppr97g4J5lKXtabJecpejuef8AqKYMAJc

客戶端收到這個 Token 以后把它存儲下來，下回向服務(wù)端發(fā)送請求的時候就帶著這個 Token 。服務(wù)端收到這個 Token ，然后進行驗證，通過以后就會返回給客戶端想要的資源。

補充知識：JAVA后端生成Token（令牌）,用于校驗客戶端

1.概述：

在web項目中，服務(wù)端和前端經(jīng)常需要交互數(shù)據(jù)，有的時候由于網(wǎng)絡(luò)相應(yīng)慢，客戶端在提交某些敏感數(shù)據(jù)（比如按照正常的業(yè)務(wù)邏輯，此份數(shù)據(jù)只能保存一份）時，如果前端多次點擊提交按鈕會導(dǎo)致提交多份數(shù)據(jù)，這種情況我們是要防止發(fā)生的。

2.解決方法：

①前端處理：在提交之后通過js立即將按鈕隱藏或者置為不可用。

②后端處理：對于每次提交到后臺的數(shù)據(jù)必須校驗，也就是通過前端攜帶的令牌（一串唯一字符串）與后端校驗來判斷當(dāng)前數(shù)據(jù)是否有效。

3.總結(jié)：

第一種方法相對來說比較簡單，但是安全系數(shù)不高，第二種方法從根本上解決了問題，所以我推薦第二種方法

** * 生成Token的工具類： */package red.hearing.eval.modules.token; import java.security.MessageDigest;import java.security.NoSuchAlgorithmException;import java.util.Random; import sun.misc.BASE64Encoder; /** * 生成Token的工具類 * @author zhous * @since 2018-2-23 13:59:27 * */public class TokenProccessor { private TokenProccessor(){}; private static final TokenProccessor instance = new TokenProccessor(); public static TokenProccessor getInstance() { return instance; } /** * 生成Token * @return */ public String makeToken() { String token = (System.currentTimeMillis() + new Random().nextInt(999999999)) + ''; try { MessageDigest md = MessageDigest.getInstance('md5'); byte md5[] = md.digest(token.getBytes()); BASE64Encoder encoder = new BASE64Encoder(); return encoder.encode(md5); } catch (NoSuchAlgorithmException e) { // TODO Auto-generated catch block e.printStackTrace(); } return null; }}

/** * */package red.hearing.eval.modules.token; import javax.servlet.http.HttpServletRequest; import org.apache.commons.lang3.StringUtils; /** * Token的工具類 * @author zhous * @since 2018-2-23 14:01:41 * */public class TokenTools { /** * 生成token放入session * @param request * @param tokenServerkey */ public static void createToken(HttpServletRequest request,String tokenServerkey){ String token = TokenProccessor.getInstance().makeToken(); request.getSession().setAttribute(tokenServerkey, token); } /** * 移除token * @param request * @param tokenServerkey */ public static void removeToken(HttpServletRequest request,String tokenServerkey){ request.getSession().removeAttribute(tokenServerkey); } /** * 判斷請求參數(shù)中的token是否和session中一致 * @param request * @param tokenClientkey * @param tokenServerkey * @return */ public static boolean judgeTokenIsEqual(HttpServletRequest request,String tokenClientkey,String tokenServerkey){ String token_client = request.getParameter(tokenClientkey); if(StringUtils.isEmpty(token_client)){ return false; } String token_server = (String) request.getSession().getAttribute(tokenServerkey); if(StringUtils.isEmpty(token_server)){ return false; } if(!token_server.equals(token_client)){ return false; } return true; } }

以上這篇JAVA中的Token 基于Token的身份驗證實例就是小編分享給大家的全部內(nèi)容了，希望能給大家一個參考，也希望大家多多支持好吧啦網(wǎng)。