关于单点登录
单点登录的基本实现思想:
-
当客户端提交登录请求时,服务器端在验证登录成功后,将生成此用户对应的JWT数据,并响应到客户端
-
客户端在后续的访问中,将自行携带JWT数据发起请求,通常,JWT数据会放在请求头的Authorization属性中
-
在服务器端的任何服务都可以解析JWT数据,从而创建对应的Authentication对象,然后,将Authentication对象存入到SecurityContext中
目前,在之前[SpringBoot]Spring Security框架_万物更新_的博客-CSDN博客已经实现的代码有几个问题:
-
如何退出登录:客户端丢弃JWT即可
-
服务器端如何保证客户端真的丢弃了JWT?
-
-
如果第三方盗用了JWT如何处理
-
目前的代码中,将管理员的权限列表存储在JWT中,导致JWT数据太长,并且,权限数据应该视为敏感数据,不应该表现在JWT中
以上问题都可以结合Redis的应用来解决!解决方案如下:
退出登录的问题:
-
【推荐】【解决方案1】当验证登录成功后,将JWT存入到Redis中,在处理JWT数据的过滤器(
JwtAuthorizationFilter
)中,首先检查Redis中的信息,如果此JWT在Redis中存在(例如白名单),则视为有效,所以,当退出登录时,只需要在Redis中将对应的JWT删除即可
-
【解决方案2】当退出登录时,将JWT存入到Redis中,在处理JWT数据的过滤器(
JwtAuthorizationFilter
)中,首先检查Redis中的信息,如果此JWT在Redis中的“黑名单”中,则视为无效
盗用JWT的问题:
-
【判断标准】以“IP地址相同或设备信息相同”为真正用户的判断标准,即:如果IP地址与登录时不同,且设备信息与登录时的也不同,则视为“盗用”!
-
【实现手段】当用户提交登录请求时,就需要获取用户的IP地址与设备信息,当验证登录通过后,将此用户的JWT、IP地址、设备信息全部存入到Redis中,后续,当客户端提交请求后,在
JwtAuthorizationFilter
中,根据客户端请求中携带的JWT,检查此次请求时的IP、设备信息与此前在Redis中存入的是否相同,如果两者均不同,则视为“盗用”。
携带权限列表的问题:
-
不再将权限列表保存在JWT数据中,而是存在Redis中
所以,基于以上分析,在处理单点登录时,Redis中的数据大概是:
Key | Value |
---|---|
用户1的JWT | 用户1的登录时IP地址、设备信息、权限列表 |
用户2的JWT | 用户2的登录时IP地址、设备信息、权限列表 |
基于以上做法,还可以更加【实时的】、有效的管理用户信息,例如将用户的启用状态也存入到Redis中,每次请求时都需要检查!同时,当用户的启用状态发生变化时,更新Redis中的数据!
关于以上问题的具体解决方案:
- 接收客户端的登录请求时,需要获取客户端的IP地址和设备信息(浏览器信息),例如:
AdminController.java
remoteAddr就是它的ip地址,userAgent就是浏览器的设备信息,然后传入service里面去。
- 当验证登录通过后,将JWT作为Key,把相关信息(IP地址、浏览器信息、用户的权限列表、用户的启用状态等)作为值,存入到Redis中,并且,JWT中不再包含权限列表
AdminServiceImpl.java
以上jwt调整为只存入 id和用户名。
以上往redis里面去存,专门准备了一个AdminLoginInfoPO对象:
/**
* 管理员登录信息的存储对象,主要用于写入到Redis中
*
* @author java@tedu.cn
* @version 0.0.1
*/
@Data
public class AdminLoginInfoPO implements Serializable {
/**
* 管理员ID
*/
private Long id;
/**
* 管理员的启用状态
*/
private Integer enable;
/**
* 管理员登录时的IP地址
*/
private String remoteAddr;
/**
* 管理员登录时的浏览器版本
*/
private String userAgent;
/**
* 管理员的权限列表的JSON字符串
*/
private String authorityListJsonString;
}
时长是存入redis里面的有效时长。
- 在
JwtAuthorizationFilter
中,当接收到JWT后,基于此JWT从Redis中获取信息,如果获取不到有效信息,则此JWT视为无效的,当可以获取到相关信息时,检查此用户的状态,检查IP地址、浏览器信息,最终,生成Authentication
时,权限也是来自Redis中读取到的数据:
文章来源地址https://www.toymoban.com/news/detail-522494.html
回头其他的管理员把这个号禁用了,redis里面就因该把它改为0,所以以下对它做一个检查,如果==0就是被禁用了,从而去响应信息:
文章来源:https://www.toymoban.com/news/detail-522494.html
最后以前的权限信息是从解析jwt来得,调整为从redis获取对象,解析得到authorities得到权限列表,这个权限信息就用于去创建认证信息,最后放在jwt里面
- 关于退出登录:
以上通过@RequestHeader注解就得到jwt了,这个注解表示数据是来自请求头的。
以上把jwt删了,后续就是一个不认的状态了,退出登录就处理好了。
- 关于jwt过期的问题, 在上面的代码中,我们对jwt设置了过期的,如果这个jwt过期了,因该怎么办?比如用户还在逛某宝,是在没用的时候过期了去登录,是合理的,如果在逛的时候过期了需要登录,就不合理。
- 解决办法是,在解析jwt的时候是能得到剩余有效期的,以下可以看出jwt包含过期时间,所以我们可以制定一个标准,临近过期时间就给它续上。
- 解决办法是,在解析jwt的时候是能得到剩余有效期的,以下可以看出jwt包含过期时间,所以我们可以制定一个标准,临近过期时间就给它续上。
到了这里,关于[SpringBoot]单点登录的文章就介绍完了。如果您还想了解更多内容,请在右上角搜索TOY模板网以前的文章或继续浏览下面的相关文章,希望大家以后多多支持TOY模板网!