更多demo請(qǐng)關(guān)注
springboot demo實(shí)戰(zhàn)項(xiàng)目
java 腦洞
java 面試寶典
開(kāi)源工具
1.Shiro + JsessionID
這種就是最早的基于session的權(quán)限認(rèn)證框架，在服務(wù)器登錄認(rèn)證成功后，服務(wù)器會(huì)把用戶信息存放在session中并把對(duì)應(yīng)的sessionID返回給客戶端，客戶端下次訪問(wèn)時(shí)帶上sessionID，服務(wù)器端根據(jù)sessionID獲取對(duì)應(yīng)的session，從session中獲取到對(duì)應(yīng)的用戶信息，假如sessionID未能找到對(duì)應(yīng)的session或者訪問(wèn)沒(méi)有帶上sessionID，則認(rèn)為未登錄
缺點(diǎn)：
請(qǐng)求校驗(yàn)依賴session， 而session通常存放在服務(wù)器的內(nèi)存中，不適用于分布式，也就是沒(méi)法實(shí)現(xiàn)多點(diǎn)登錄， 因?yàn)閾Q一個(gè)服務(wù)器就沒(méi)了session
2.Shiro + JsessionID + redis
這種是為了解決上面方案的缺點(diǎn)而提出的用redis來(lái)解決分布式下session共享問(wèn)題的，說(shuō)白了就是服務(wù)器的session不存放在內(nèi)存中，而是通過(guò)redis的api將session提交到redis中存儲(chǔ)，多臺(tái)服務(wù)器訪問(wèn)同一個(gè)redis，那同一個(gè)sessionID在不同的服務(wù)器上就能獲取相同的session了，進(jìn)而實(shí)現(xiàn)了多點(diǎn)登錄
缺點(diǎn)：
1.sessionID的安全性不足，容易被挾持
2.用戶信息存放在服務(wù)器端，每次訪問(wèn)校驗(yàn)都依賴服務(wù)器的讀取能力
3.Shiro + token + redis
這種是為了解決上面方案sessionID的安全性不足的確定，提出用token來(lái)代替jessionID作為前后端校驗(yàn)的憑證，token是根據(jù)sessionID生成，通過(guò)token能獲取對(duì)應(yīng)的sessionID，而sessionID則能獲取到session， sessionID不變的情況下，我們可以根據(jù)sessionID生成不同的token，然后通過(guò)定時(shí)刷新token來(lái)避免挾持，而且token的傳輸可以通過(guò)header 等方式來(lái)支持手機(jī)端訪問(wèn)
缺點(diǎn)：
用戶信息存放在服務(wù)器端，每次訪問(wèn)校驗(yàn)都依賴服務(wù)器的讀取能力
4.Shiro + jwt
JWT的提出實(shí)現(xiàn)了請(qǐng)求無(wú)狀態(tài)，坦白說(shuō)就是用戶信息不存放在服務(wù)器中，而是把用戶信息通過(guò)加密的方式存放到token中，客戶端每次訪問(wèn)帶上token，服務(wù)器端校驗(yàn)token并解密獲得用戶信息，由于用戶信息不在服務(wù)器上，服務(wù)器只做校驗(yàn)，進(jìn)而提高了服務(wù)器效率，也由于服務(wù)器端沒(méi)有保留用戶信息，天然支持了了分布式
缺點(diǎn)：
- 由于token是客戶端持有，也就是發(fā)放出去的token，服務(wù)器端無(wú)法主動(dòng)發(fā)起回收，所以jwt的有效時(shí)間應(yīng)該設(shè)置為較短的時(shí)間
- jwt 是無(wú)需session實(shí)現(xiàn)的，所以需要關(guān)閉shiro的session支持，導(dǎo)致shiro實(shí)現(xiàn)jwt校驗(yàn)的復(fù)雜性較大
5. jwt + 輕量級(jí)校驗(yàn)框架 + redis
大家看到這里可能有點(diǎn)蒙，為什么用了jwt來(lái)做無(wú)狀態(tài)請(qǐng)求，還要引入redis ? 首先我們來(lái)看下我們要解決的問(wèn)題
- jwt 持有用戶信息，服務(wù)器端無(wú)法收回jwt，造成風(fēng)險(xiǎn)不可控
- shiro對(duì)jwt支持的復(fù)雜性
所以我們提出使用攔截器校驗(yàn)jwt的方式來(lái)實(shí)現(xiàn)輕量級(jí)校驗(yàn)框架，jwt持有用戶信息而不持有權(quán)限信息，權(quán)限信息交由redis儲(chǔ)存，
也就是我們把用戶操作級(jí)別，比如添加商品到購(gòu)物車(chē)，收藏商品等等這種交由jwt校驗(yàn)，而權(quán)限級(jí)別操作，比如登記商戶，上下架商品等交由服務(wù)器端來(lái)校驗(yàn)權(quán)限
缺點(diǎn)：
- 需要明確的業(yè)務(wù)隔離
- 對(duì)靜態(tài)資源攔截不友好
java腦洞 springboot 輕量級(jí)JWT安全框架
公眾號(hào)
五分鐘了解前沿技術(shù)，大數(shù)據(jù)，微服務(wù)，區(qū)域鏈，提供java前沿技術(shù)干貨，獨(dú)立游戲制作技術(shù)分享
如果這篇文章對(duì)你有幫助請(qǐng)給個(gè)star
