JWT与RBAC权限模型

JWT

JWT是什么？

Json web token (JWT)是为了网络应用环境间传递声明而执行的一种基于JSON的开发标准（RFC7519），该token被设计为紧凑且安全的，特别适用于分布式站点的单点登录（SSO）场景。JWT的声明一般被用来在身份提供和服务提供者间传递被认证的用户身份信息，以便于从资源服务器获取资源，也可以增加一些额外的其它业务逻辑所必须的声明信息，该token也可以直接被用于认证，也可以加密。

传统的登录保持与接口权限是如何实现的？

1. 用户向服务器发送用户名和密码。
2. 服务器验证通过后，在当前对话（session）里面保存相关数据，比如用户角色、登录时间等等。
3. 服务器向用户返回一个session_id，写入用户Cookie。
4. 用户随后的每一次请求，都会通过Cookie，将session_id传回服务器。
5. 服务器收到session_id，找到前期保存的数据，由此得知用户的身份。

JWT的数据结构

image.png

image.png

image.png

组成

image.png

JWT的特点

1. JWT默认是不加密，但也是可以加密的。生成原始Token以后，可以用密钥在加密一次。
2. JWT不加密的情况下，不能将秘密数据写入JWT。
3. JWT不仅可以用于认证，也可以用于交换信息。有效使用JWT，可以降低服务器查询数据库的次数。
4. JWT的最大缺点是，由服务器不保存session状态，因此无法在使用过程中废止某个token，或者更改token权限。也就是说，一旦JWT签发了，在到期之前就会始终有效，除非服务器部署额外的逻辑。
5. JWT本身包含了认证信息，一旦泄露，任何人都可以获得该令牌的所有权限。为了减少盗用，JWT的有效期应该设置得比较短。对于一些比较重要的权限，使用时应该再次对用户进行认证。
6. 为了减少盗用，JWT不应该使用HTTP协议明码传输，要使用HTTPS协议传输。

RBAC权限模型

基于权限的关系通用模型

image.png

RBAC模块功能

image.png

RBAC权限控制流程

image.png

原文地址：https://www.jianshu.com/p/e0a816287789