[發明專利]一種基于JWT的可手動撤銷的授權方法

在審

• 申請號: 201911119920.4
• 申請日: 2019-11-15
• 公開（公告）號: CN110855672A
• 公開（公告）日: 2020-02-28
• 發明（設計）人: 司毅
• 申請（專利權）人: 無錫家校邦網絡科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L9/06;H04L9/08;H04L9/32
• 代理公司: 淮安睿合知識產權代理事務所(普通合伙) 32372
• 代理人: 趙霎

本發明涉及網絡授權技術的運用，具體為一種基于JWT的可手動撤銷的授權方法，是一種基于訪問令牌的高效、可回收、可即時更新的授權機制；包括用于提供登錄憑證驗證程序和服務器對訪問令牌校驗流程；其中用于提供登錄憑證驗證程序包括如下步驟：1a：根據登錄憑證查詢用戶信息；2a：判斷是否能夠取得用戶信息，若能夠取得用戶信息則生成令牌ID組裝令牌數據；3a：對上述2a中的令牌數據進行數字簽名；4a：將令牌信息保存到持久化數據庫，并創建訪問令牌記錄；5a：將令牌設置到X?Access?Token響應頭并認證結束；6a：對上述2a中判斷是否能夠取得用戶信息，若不能夠取得用戶信息則直接認證結束。

技術領域

本發明涉及網絡授權技術的運用，具體為一種基于JWT的可手動撤銷的授權方法。

背景技術

客戶端用戶權限的授予與鑒定是一個互聯網應用所必不可少的功能。主流的認證方式有基于Cookie和Session的認證方式以及基于訪問令牌的認證方式。

傳統的Web應用在服務器端使用Session存儲用戶授權信息。這種方式易于實現，客戶端幾乎不需要做額外的處理，僅需要由服務器在響應頭中設置需要在客戶端的Cookie中保存的Session ID即可，并且只需在服務器端銷毀Session即可實現權限的回收。但是基于Cookie的認證方式存在Web安全問題，容易通過客戶端重定向的方式盜用客戶端的權限。另外，使用Session存儲用戶授權信息會消耗服務器的內存空間，難以應對高并發請求。隨著移動互聯網的高速發展，這一弊端逐漸顯現。

因此，如今大多數Web應用實用基于訪問令牌的認證方式(具體為JWT，即JSON WebToken)。訪問令牌是一個加密的數據，包含了用戶的基本信息及令牌的有效截止時間。由于訪問令牌本身包含了認證信息(即訪問令牌是自解釋的)，因此不需要占用服務器的內存空間。但是使用訪問令牌時有以下問題需要解決：

(1)如何在訪問令牌生成后、過期前撤銷授權(2)如果在訪問令牌生成后，用戶的信息發生了變化，那么要如何更新客戶端的訪問令牌。

發明內容

本發明的目的是為了解決上述技術不足，提供了一種基于JWT的可手動撤銷的授權方法，是一種基于訪問令牌的高效、可回收、可即時更新的授權機制。

為解決上述技術問題，本發明所采用的技術方案為：一種基于JWT的可手動撤銷的授權方法，包括用于提供登錄憑證驗證程序和服務器對訪問令牌校驗流程；

其中用于提供登錄憑證驗證程序包括如下步驟：

1a：根據登錄憑證查詢用戶信息；

2a：判斷是否能夠取得用戶信息，若能夠取得用戶信息則生成令牌ID組裝令牌數據；

3a：對上述2a中的令牌數據進行數字簽名；

4a：將令牌信息保存到持久化數據庫，并創建訪問令牌記錄；

5a：將令牌設置到X-Access-Token響應頭并認證結束；

6a：對上述2a中判斷是否能夠取得用戶信息，若不能夠取得用戶信息則直接認證結束；

其中服務器對訪問令牌校驗流程包括如下步驟：

1b：從Authorization請求頭取得令牌，并校驗令牌是否有效；

2b：若令牌有效則根據令牌ID取得緩存中的令牌記錄，并判斷緩存這種是否存在令牌記錄；

3b：若緩存中存在令牌記錄，則延長緩存記錄的生命期；再判斷用戶信息是否已被更新；

4b：若用戶信息已被更新，則查詢用戶信息重新則查詢用戶信息重新進行數字簽名；

5b：判斷是否有權執行此操作，若有權執行此操作則執行操作；