現在SPA(Single Page Application, 單頁面應用)和前後端分離已經是主流. 基於Token的驗證非常適合這種構架.

Difference between Token-based Auth and Cookie-based Auth

基於Cookie的驗證

基於Cookie的驗證是有狀態的 (stateful). 前後端都要為驗證儲存狀態: 後端要儲存active session的資訊, 前端要用cookie儲存sessionId. 流程如下:

1. 使用者輸入登入資訊
2. 伺服器驗證後, 建立session並儲存到資料庫
3. 帶著sessionId的cookie儲存到瀏覽器中
4. 接下來的所有請求, 後臺通過cookie攜帶的sessionId以找到對應的session.
5. 使用者登出時, 前後端都要銷燬session

基於Token的驗證

近些年SPA, web API, 和IoT(Internet of Things, 物聯網)的崛起帶動了基於Token的驗證, 通常就是指JWT(Json Web Token)

JWT是無狀態的(stateless), 後端不必儲存有關session的資訊. 後端只需要驗證每次請求中攜帶的Token即可驗證請求的真實性.

Token通常以Bearer {JWT}的形式儲存在Authentication header中, 也可以放到POST body或query parameter中.

流程如下:

1. 使用者輸入登入資訊
2. 伺服器驗證後, 返回一個簽名(signed)的token. 該token儲存在前端, 通常在localStorage中, sessionStorage或cookie也可以.
3. 接下來的請求中token被加到Authentication Header中, 或者POST body / query parameter中.
4. 後臺解碼JWT, 若token合法, 則處理請求
5. 使用者登出後, token從前端銷燬, 無需與後端互動.

基於Token的驗證的優勢

無狀態, 可擴充套件, 解耦合

基於Token的驗證是無狀態的, 後端無需儲存狀態. 每個token自己都儲存了足夠的驗證所需要的資訊.

後臺的任務只剩下對token簽名和驗證token兩項. 如果使用auth0之類的第三方服務進行token簽名, 後臺則只需要驗證token.

跨域問題

Cookie適用於單域名或者子域名的情況, 但是跨域的話就麻煩了. 基於Token的驗證則不關心域名.

在JWT中儲存資料

使用Cookie時, 你只儲存一個sessionId. 但是你可以在Token中儲存一些別的元資料. JWT文件中規定了一些預留/共有/私有的claim(宣告, 即JWT的欄位). 這意味著你可以在JWT中儲存諸如userId, expiration, email, permission之類的資訊.

效能

基於Cookie的驗證需要依賴資料庫儲存session資訊, 查詢資料庫往往比驗證token要耗時得多. 而且JWT允許你儲存一些常用資訊, 比如使用者許可權, 這樣又省去一些資料庫查詢開銷.

移動裝置

原生平臺上, cookie的使用會遇到一些問題/限制. 但是Token在iOS或者Android上實現都非常簡單. 對IoT裝置這種沒有cookie store概念的終端, Token更是最佳選擇.

常見問題

JWT大小

JWT最大的問題是大小. 最小的JWT也比儲存sessionId的cookie要大. 因此不要向JWT中加入太多claim.

JWT的儲存

最常見的是儲存在localStorage中. 但是localStorage中的資料無法被另一個域名或者子域名訪問.

存在cookie中的一個問題是, cookie的最大尺寸是4kb, 你無法儲存很多claim.

存在sessionStorage的話, 一旦使用者關閉瀏覽器, 登入資訊就被清空了.

XSS和XSRF攻擊

要注意Cross Site Scripting (XSS)和Cross Site Request Forgery (XSRF or CSRF)兩種攻擊.

XSS攻擊發生在當用戶可以在你的網站/app執行自己的程式碼的時候. 常見情況就是你不對使用者輸入進行清理, 導致使用者輸入的惡意程式碼被執行. Angular等常見的框架會自動清理使用者輸入, 阻止使用者程式碼的執行. 如果你沒用具有這類功能的框架, 你可以選擇一些外掛比如caja.

對於XSRF攻擊, 如果你用localStorage就不用擔心. 但是如果你用cookie的話, 就要防範這類攻擊. XSRF的攻擊方式和解決方法見這裡.

讓token有較短的過期時間, 可以確保當token被偷時, 它沒多久就會失效. 另外你可以維護一個被盜token的黑名單. 最後, 終極大招就是修改簽名演算法, 這樣所有的token都會失效, 所有使用者都要重新登入. 這是非正常時期的手段, 輕易勿用.

Token會被編碼, 但不會被加密

Token中的header和payload是base64url編碼的(注意不是base64), 它本身是用HMACSHA256演算法進行簽名的. 這意味著, 你儲存在payload中的資訊是公開的, 非加密的. 所以絕不要在token中儲存密碼之類的隱私資訊.

如果你非要儲存隱私資訊, 可以使用JWE(JSON Web Encryption), 它讓token無法被除了伺服器以外的所有人解讀. JOSE提供了一個很好的JWE框架, 還有對很多流行框架如NodeJS和Java的SDK.

參考

作者：柳正來
連結：https://www.jianshu.com/p/000f5896d6fd
來源：簡書
簡書著作權歸作者所有，任何形式的轉載都請聯絡作者獲得授權並註明出處。