SpringOAuth2之JWT

关于权限认证和spring gateway我都单独尝试过如何使用，现在的需求是使用微服务架构，和网关技术，如何实现各个微服务之间的相互认证。客户端请求先通过网关，然后网关判断是否认证过，没有认证过就要进行认证，认证过之后，要在转发之前添加一个token，为了以后的其他微服务通过token进行认证，调用微服务的来源是否是来自网关的。虽然不知道这样的思路是不是对的，但是以我有限的java经验，目前能想到的就是这种方法了。

根据相应的参考文章，我觉得下面这张图能很好的反应基于spring gateway和token进行微服务认证的流程

有些文章中是这样说的：
服务网关的一大作用就是可以对外部的请求进行集中权限认证，这样每个具体的服务就不用操心权限管理的问题了，可以专心于业务的实现。基本的思路是外部客户端首先需要获取一个由系统中独立的认证中心负责签发的accessToken，然后每次请求服务时在http header中携带该Token，服务网关负责校验accessToken的有效性以及是否具备访问该服务的权限，具体的思路和我之前介绍单系统权限管理的思路比较类似，可以查看 Spring Boot整合Shiro和JWT的无状态权限管理方案 这篇文章。

JWT相关内容

JWT有下面的几个特点：

• （1）JWT 默认是不加密，但也是可以加密的。生成原始 Token 以后，可以用密钥再加密一次。
• （2）JWT 不加密的情况下，不能将秘密数据写入 JWT。
• （3）JWT 不仅可以用于认证，也可以用于交换信息。有效使用 JWT，可以降低服务器查询数据库的次数。
• （4）JWT 的最大缺点是，由于服务器不保存 session 状态，因此无法在使用过程中废止某个 token，或者更改 token 的权限。也就是说，一旦 JWT 签发了，在到期之前就会始终有效，除非服务器部署额外的逻辑。
• （5）JWT 本身包含了认证信息，一旦泄露，任何人都可以获得该令牌的所有权限。为了减少盗用，JWT 的有效期应该设置得比较短。对于一些比较重要的权限，使用时应该再次对用户进行认证。
• （6）为了减少盗用，JWT 不应该使用 HTTP 协议明码传输，要使用 HTTPS 协议传输。

其他相关文章

根据查阅资料，在网关中使用security和在普通的springboot应用程序中使用security还是有点不一样的。首先一点就是注解的不一样，在gateway中使用的是@EnableWebFluxSecurity，而在普通的web应用程序中使用的是@EnableWebSecurity

oauth2和jwt

在谷歌中搜索springcloud gateway加security，最后都被导向了spring gateway+spring security oauth2，不知道是不是我的方向不对，总感觉有什么地方出现了问题。现在脑子里一片浆糊，不知道是不是不应该在spring gateway中加入spring security。

jwt加密

对生成对token进行解密查看，可以到网站JSON Web Tokens (JWT) 在线解密进行，但是默认生成到jwt是不加密到，所以，自动解析了。就可以看到明文，所以在pload部分，不建议存储敏感信息。如何进行jwt加密呢？

根据我的理解，就是JWT中的header和pload部分，都是使用base64进行编码的明文，所以无法进行加密处理，并且最好不要存储敏感的信息。但是在第三部分签证（signature），这部分有一个地方是存储密钥的地方，这个在服务端进行存储，使用这个进行解码整个token的内容，是不是正确的，所以也算是对整个token进行了一种加密验证了，因为无法伪造这个 secret ,所以整个的token也就无法伪造了。