jwt单点登录的原理，jwt单点登录子系统处理流程

欧气 2024年09月30日 04:16 4 0

本文目录导读：

《JWT单点登录子系统处理流程全解析》

JWT简介

JWT（JSON Web Token）是一种开放标准（RFC 7519），它定义了一种紧凑且自包含的方式，用于在各方之间安全地传输信息作为JSON对象，在单点登录（SSO）场景中，JWT扮演着至关重要的角色，它包含了用户的身份信息、权限信息等，并且通过数字签名保证了信息的完整性和不可篡改性。

单点登录的核心目标是让用户在多个相关但独立的子系统中只需登录一次，即可访问所有授权的资源，在基于JWT的单点登录中，有一个统一的认证中心（Authentication Center，AC），当用户首次尝试访问某个子系统时，会被重定向到认证中心进行登录。

（一）用户登录请求

1、初始访问

- 用户在浏览器中访问子系统A（假设为其中一个需要登录访问的子系统），由于用户尚未登录，子系统A检测到用户没有有效的JWT令牌，于是将用户重定向到认证中心的登录页面，这个重定向操作通常会携带一些必要的参数，如子系统A的标识（用于认证中心识别用户登录成功后应重定向回的目标子系统）等。

2、登录页面展示

- 认证中心接收到来自子系统A的重定向请求后，显示登录页面，用户在登录页面输入用户名和密码（或者其他认证方式，如指纹、面部识别等，如果支持的话）。

（二）认证中心认证

1、身份验证

- 认证中心接收到用户输入的凭据后，会对其进行验证，它可能会查询用户数据库，检查用户名和密码是否匹配，如果验证成功，认证中心会根据用户的身份信息和权限信息构建一个JWT令牌，这个JWT令牌包含了诸如用户ID、用户名、角色、权限等关键信息。

2、签名操作

- 认证中心使用私钥对JWT令牌进行签名，签名的目的是确保令牌的完整性和不可篡改性，一旦令牌被篡改，接收方（子系统）在验证签名时就会发现并拒绝该令牌。

（三）登录成功后的重定向

1、重定向回子系统

- 认证中心在成功创建并签名JWT令牌后，会根据最初子系统A传递过来的标识，将用户重定向回子系统A，并在重定向的URL中包含JWT令牌。

2、子系统A接收令牌

- 子系统A接收到包含JWT令牌的重定向请求后，首先会从URL中提取JWT令牌，子系统A使用认证中心公开的公钥来验证JWT令牌的签名，如果签名验证成功，子系统A会解析JWT令牌中的内容，获取用户的身份和权限信息。

- 根据这些信息，子系统A可以确定用户是否有权限访问特定的资源，如果用户有权限，子系统A会允许用户访问相应的页面或功能，并在本地建立一个用户会话（可以是基于内存、数据库或者其他存储方式），以便在后续的请求中快速验证用户身份，而无需再次向认证中心验证。

（四）后续访问其他子系统

1、子系统间共享令牌

- 当用户已经在子系统A登录并获得了有效的JWT令牌后，如果用户想要访问子系统B，用户直接向子系统B发起请求，并在请求中携带之前在子系统A获取的JWT令牌。

2、子系统B验证令牌

- 子系统B接收到请求后，同样使用认证中心的公钥验证JWT令牌的签名，如果验证成功，子系统B解析令牌内容以获取用户身份和权限信息，然后根据这些信息决定是否允许用户访问相应资源，这样，用户无需在子系统B再次登录，实现了单点登录的效果。

（五）令牌的过期与刷新

1、令牌过期处理

- JWT令牌通常会设置一个过期时间，当子系统接收到一个已经过期的JWT令牌时，子系统可以根据具体的业务逻辑决定如何处理，一种常见的做法是将用户重定向回认证中心，让用户重新登录以获取新的JWT令牌。

2、令牌刷新机制

- 为了提高用户体验，也可以采用令牌刷新机制，子系统可以在令牌快要过期时，向认证中心发送一个刷新请求，认证中心验证子系统的合法性以及用户的身份后，可以颁发一个新的JWT令牌给子系统，子系统再用新令牌替换旧令牌，从而实现用户的无缝体验。

JWT单点登录子系统处理流程通过统一的认证中心、JWT令牌的创建、传递和验证，实现了用户在多个子系统中的单点登录，提高了用户体验和系统的安全性与管理效率。