本文目录导读：
《Java中JWT单点登录跨域的实现与应用》
单点登录（SSO）概述
单点登录是指在多个应用系统中，用户只需要登录一次就可以访问所有相互信任的应用系统，这种方式提高了用户体验，减少了用户重复登录的繁琐操作，同时也便于系统的管理和安全控制。
图片来源于网络，如有侵权联系删除
二、JWT（JSON Web Token）简介
1、结构
- JWT由三部分组成，分别是头部（Header）、载荷（Payload）和签名（Signature），头部通常包含了加密算法等元数据信息，"alg": "HS256", "typ": "JWT"}，载荷包含了一些用户相关的信息，如用户ID、用户名、过期时间等自定义的声明，签名则是通过对头部和载荷进行特定算法的加密得到的，用于验证消息的完整性和真实性。
2、优点
简洁性：JWT以紧凑的JSON格式表示，易于在网络间传输。
自包含性：它包含了用户的所有必要信息，不需要在服务器端存储会话信息（与传统的基于会话的认证方式不同），减轻了服务器的存储压力。
跨语言和跨平台性：可以在不同的编程语言和平台上方便地使用。
Java中JWT单点登录跨域的实现
（一）创建JWT
1、依赖引入
- 在Java项目中，我们可以使用一些流行的JWT库，如jjwt，首先在项目的构建文件（如Maven的pom.xml或Gradle的build.gradle）中引入jjwt的依赖。
- 对于Maven：
```xml
<dependency>
<groupId>io.jsonwebtoken</groupId>
<artifactId>jjwt - api</artifactId>
<version>0.11.2</version>
</dependency>
<dependency>
<groupId>io.jsonwebtoken</groupId>
<artifactId>jjwt - impl</artifactId>
<version>0.11.2</version>
<scope>runtime</scope>
</dependency>
<dependency>
<groupId>io.jsonwebtoken</groupId>
<artifactId>jjwt - jackson</artifactId>
<version>0.11.2</version>
<scope>runtime</scope>
</dependency>
```
2、生成JWT
- 在Java代码中，我们可以使用以下方式生成JWT：
```java
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;
import java.util.Date;
import java.util.HashMap;
图片来源于网络，如有侵权联系删除
import java.util.Map;
public class JwtUtil {
private static final String SECRET_KEY = "your_secret_key";
private static final long EXPIRATION_TIME = 3600000; // 1 hour
public static String generateToken(String username) {
Map<String, Object> claims = new HashMap<>();
Date now = new Date();
Date expiration = new Date(now.getTime() + EXPIRATION_TIME);
return Jwts.builder()
.setClaims(claims)
.setSubject(username)
.setIssuedAt(now)
.setExpiration(expiration)
.signWith(SignatureAlgorithm.HS256, SECRET_KEY)
.compact();
}
}
```
（二）跨域处理
1、跨域概念
- 在单点登录场景中，不同的应用系统可能部署在不同的域名下，这就涉及到跨域问题，浏览器的同源策略限制了从一个源加载的脚本如何与来自另一个源的资源进行交互。
2、CORS（跨域资源共享）
- 在Java的Web应用中（如基于Spring Boot），我们可以配置CORS来允许跨域请求，对于Spring Boot应用，可以在配置类中添加如下代码：
```java
import org.springframework.context.annotation.Configuration;
import org.springframework.web.servlet.config.annotation.CorsRegistry;
import org.springframework.web.servlet.config.annotation.WebMvcConfigurer;
@Configuration
public class WebMvcConfig implements WebMvcConfigurer {
@Override
public void corsRegistry(CorsRegistry registry) {
registry.addMapping("/**")
.allowedOrigins("*")
.allowedMethods("GET", "POST", "PUT", "DELETE")
.allowedHeaders("*")
.allowCredentials(true);
}
图片来源于网络，如有侵权联系删除
}
```
- 这里允许所有来源（allowedOrigins("*")）的跨域请求，在实际生产环境中，应该指定具体的可信来源，并且允许了常见的HTTP方法和所有的请求头，同时允许携带凭证（allowCredentials(true)），这对于包含身份验证信息的跨域请求是很重要的。
（三）单点登录流程中的JWT跨域使用
1、登录验证
- 当用户在一个主应用（例如app1.example.com）登录时，服务器验证用户的凭据（如用户名和密码），如果验证成功，服务器使用JwtUtil生成一个JWT，并将其返回给客户端。
- 客户端（浏览器）将接收到的JWT存储起来，例如存储在本地存储（localStorage）或者Cookie中（如果允许跨域Cookie传递的话）。
2、跨域访问其他应用
- 当用户尝试访问另一个应用（例如app2.example.com）时，客户端将JWT包含在请求头（如Authorization: Bearer <JWT>）中发送给app2的服务器。
app2的服务器接收到请求后，首先进行CORS检查（如果配置了CORS），然后验证JWT的有效性，它可以使用相同的jjwt库来解析和验证JWT，如下所示：
```java
import io.jsonwebtoken.Claims;
import io.jsonwebtoken.Jwts;
public class JwtValidator {
private static final String SECRET_KEY = "your_secret_key";
public static boolean validateToken(String token) {
try {
Jwts.parser().setSigningKey(SECRET_KEY).parseClaimsJws(token);
return true;
} catch (Exception e) {
return false;
}
}
public static Claims getClaimsFromToken(String token) {
return Jwts.parser().setSigningKey(SECRET_KEY).parseClaimsJws(token).getBody();
}
}
```
- 如果JWT验证成功，app2就可以根据JWT中的信息（如用户ID）识别用户，并允许用户访问相应的资源，从而实现了单点登录跨域访问。
安全考虑
1、密钥管理
- JWT的签名密钥（如上述示例中的SECRET_KEY）必须妥善保管，如果密钥泄露，攻击者就可以伪造JWT，在生产环境中，可以使用配置文件或者环境变量来存储密钥，并且定期更新密钥。
2、过期时间设置
- 合理设置JWT的过期时间非常重要，如果过期时间过长，一旦JWT被泄露，攻击者就有更长的时间利用它进行非法访问；如果过期时间过短，又会频繁要求用户重新登录，影响用户体验。
3、跨域安全策略
- 在配置CORS时，要谨慎设置允许的来源、方法和头信息，避免过度开放权限导致安全漏洞，例如只允许可信的来源进行跨域请求，并且对于敏感的操作（如修改用户密码等）要进行额外的身份验证。
通过在Java中使用JWT实现单点登录跨域，可以有效地提高用户体验，简化多个应用系统之间的身份验证流程，在实现过程中要充分考虑安全因素，从JWT的生成、验证到跨域安全策略的配置等方面进行严格的安全管控，以确保系统的安全性和可靠性，这种单点登录跨域的解决方案在现代企业级应用架构中具有广泛的应用前景，可以满足不同业务系统之间的整合和用户身份管理需求。
评论列表