JWT|单点登录解决方案|Spring Boot使用Redis如何实现Session共享

旧城等待， 2022-04-06 15:47 539阅读 0赞

### 传统web应用身份验证 ###

1.用户向服务器发送用户名和密码。  
2.验证服务器后，相关数据（如用户角色，登录时间等）将保存在当前会话中。  
3.服务器向用户返回session\_id，session信息都会写入到用户的Cookie。  
4.用户的每个后续请求都将通过在Cookie中取出session\_id传给服务器。  
5.服务器收到session\_id并对比之前保存的数据，确认用户的身份。  
缺点:没有分布式架构，无法支持横向扩展。

<table> 
 <tbody> 
  <tr> 
   <td><b><font>JWT初识</font></b></td> 
  </tr> 
 </tbody> 
</table>

#### 1.概念 ####

JSON Web Token（JWT）是目前最流行的跨域身份验证解决方案。

通过客户端保存数据，而服务器根本不保存会话数据，每个请求都被发送回服务器。  
JWT是这种解决方案的代表。  
用JSON对象在各方之间安全地传输信息。  
该信息可以被验证和信任，因为它是数字签名的。  
:<><><<><><>>JWT与Session相同点:<><><<><><>>

> 它们都是存储用户信息

:<><><<><><>>不同:<><><<><><>>

> Session是在服务器端的，而JWT是在客户端的。  
> Session方式存储用户信息的最大问题在于要占用大量服务器内存，增加服务器的开销。  
> 而JWT方式将用户状态分散到了客户端中，可以明显减轻服务端的内存压力。  
> Session的状态是存储在服务器端，客户端只有session id；而Token的状态是存储在客户端。

#### 2.应用场景 ####

*  Authorization (授权) :  
    这是使用JWT的最常见场景。一旦用户登录，后续每个请求都将包含JWT，允许用户访问该令牌允许的路由、服务和资源。单点登录是现在广泛使用的JWT的一个特性，因为它的开销很小，并且可以轻松地跨域使用。
 *  Information Exchange (信息交换) :  
    对于安全的在各方之间传输信息而言，JSON Web Tokens无疑是一种很好的方式。因为JWTs可以被签名，例如，用公钥/私钥对，你可以确定发送人就是它们所说的那个人。另外，由于签名是使用头和有效负载计算的，您还可以验证内容没有被篡改。

#### 3.流程图解 ####

![在这里插入图片描述][format_png]

1.  应用（或者客户端）想授权服务器请求授权。例如，如果用授权码流程的话，就是/oauth/authorize
2.  当授权被许可以后，授权服务器返回一个access token给应用，将其存储在Cookie或localStorage中。
3.  客户端将在与服务器交互中都会带JWT-access-token。如果将它存储在Cookie中，就可以自动发送，但是不会跨域，因此一般是将它放入HTTP请求的Header Authorization字段中。当跨域时，也可以将JWT被放置于POST请求的数据主体中。

#### 4. 数据结构 ####

JSON Web Token由三部分组成，它们之间用圆点(.)连接。这三部分分别是：  
Header     Payload     Signature  
因此，一个典型的JWT看起来是这个样子的：  
`xxxxx.yyyyy.zzzzz`

#### 5. JWT问题和趋势 ####

1、JWT默认不加密，但可以加密。生成原始令牌后，可以使用改令牌再次对其进行加密。  
2、当JWT未加密方法是，一些私密数据无法通过JWT传输。  
3、JWT不仅可用于认证，还可用于信息交换。**善用JWT有助于减少服务器请求数据库的次数。**  
4、JWT的最大缺点是服务器不保存会话状态，所以在使用期间不可能取消令牌或更改令牌的权限。也就是说，**一旦JWT签发，在有效期内将会一直有效。**  
5、JWT本身包含认证信息，因此一旦信息泄露，任何人都可以获得令牌的所有权限。 **为了减少盗用，JWT的有效期不宜设置太长。** 对于某些重要操作，用户在使用时应该每次都进行进行身份验证。  
6、为了减少盗用和窃取，JWT不建议使用HTTP协议来传输代码，而是使用加密的HTTPS协议进行传输。

[↑↑↑参考文章链接][Link 1]

单点登录（Single Sign On），简称为 SSO，是目前比较流行的企业业务整合的解决方案之一。SSO的定义是在多个应用系统中，用户只需要登录一次就可以访问所有相互信任的应用系统。  
传统session不能解决多服务器下单点登录

CAS （ Central Authentication Service ），基于Java实现的、开源SSO解决方案。cas旨在为 Web 应用系统提供一种可靠的单点登录解决方法（属于 Web SSO ）。

![webp][]

### 服务端部署 ###

*  CAS默认使用HTTPS协议 需要SSL证书(需要申请和购买)[连接->>去掉https][-_https]

将war改名为cas.war(容易访问)部署到tomcat  
![2018120917041179.png][]  
初始用户名密码casuser/Mellon

1.  修改密码:  
    1.1. 选择配置文件  
    ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM2NzYyNjc3_size_16_color_FFFFFF_t_70]  
    1.2. 添加用户名密码  
    ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM2NzYyNjc3_size_16_color_FFFFFF_t_70 1]
2.  端口修改8080->80  
    2.1 修改tomcat端口/conf/server.xml  
    2.2 修改<connector port=“9100”>  
    2.3 修改cas的配置文件/webapps/cas/WEB-INF  
    2.4 ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM2NzYyNjc3_size_16_color_FFFFFF_t_70 2]

### 客户端 ###

1.  引入cas客户端core依赖

--------------------

## Spring Boot使用Redis如何实现Session共享 ##

pom

<dependency>
    		<groupId>org.springframework.boot</groupId>
    		<artifactId>spring-boot-starter-redis</artifactId>
    		<version>1.4.6.RELEASE</version>
    	</dependency>
    	<dependency>
    		<groupId>org.springframework.session</groupId>
    		<artifactId>spring-session-data-redis</artifactId>
    	</dependency>

配置类或启动类

@SpringBootApplication
    //@EnableRedisHttpSession注解开启Spring session支持
    //maxInactiveIntervalInSeconds参数是设置Session失效时间
    @EnableRedisHttpSession(maxInactiveIntervalInSeconds=60)
    public class DemoApplication { 
    
    	public static void main(String[] args) { 
    		SpringApplication.run(DemoApplication.class, args);
    	}
    }

配置文件

############################################################
    #
    # REDIS 配置
    #
    ############################################################
    # Redis数据库索引（默认为0）
    spring.redis.database=1
    spring.redis.host=127.0.0.1
    spring.redis.port=6379
    # Redis服务器连接密码（默认为空）
    spring.redis.password=1234567
    # 连接超时时间（毫秒）
    spring.redis.timeout=5000

测试

@Controller
    public class MainController { 
    
    
    
        @RequestMapping(value="/getSessionId")
        @ResponseBody
        public String getSessionId(HttpServletRequest request){ 
    
            Object o = request.getSession().getAttribute("springboot");
            if(o == null){ 
                o = "spring boot 端口"+request.getLocalPort()+"生成";
                request.getSession().setAttribute("springboot", o);
            }
    
            return "端口=" + request.getLocalPort() +  " sessionId=" + request.getSession().getId() +"<br/>"+o;
        }
    
    }

[format_png]: /images/20220406/070b265ceb8841e68ef8323c7d24784c.png
[Link 1]: https://www.cnblogs.com/cjsblog/p/9277677.html
[webp]: /images/20220406/9baef7146c794ed8995f4854866fe0a4.png
[-_https]: https://blog.csdn.net/zzq900503/article/details/54910609
[2018120917041179.png]: /images/20220406/7ee8f5f3166d41d3ba7549ac8a92a06f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM2NzYyNjc3_size_16_color_FFFFFF_t_70]: /images/20220406/cf085e829e7742a1a3fbc778ababa171.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM2NzYyNjc3_size_16_color_FFFFFF_t_70 1]: /images/20220406/0fe1ded29d124182829f1a92dba7dd00.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzM2NzYyNjc3_size_16_color_FFFFFF_t_70 2]: /images/20220406/6bc414a1ac9d4d749e104bb28846d49f.png