Authentication Token Manipulation 入门指南：从原理到安全实践

1次阅读

没有评论

共计 2277 个字符，预计需要花费 6 分钟才能阅读完成。

在现代 Web 开发中，身份认证是一个绕不开的话题。而 Token 作为身份认证的核心载体，它的安全性直接关系到整个系统的安全。那么，Token 都会面临哪些安全威胁呢？

伪造攻击 ：攻击者可能伪造或篡改 Token 内容，冒充其他用户身份
窃取攻击 ：通过 XSS 或网络嗅探等手段获取有效 Token
重放攻击 ：截获合法 Token 后重复使用
过期失效 ：Token 有效期设置不当导致的安全风险

这些安全问题一旦发生，轻则导致用户数据泄露，重则可能引发整个系统的安全崩溃。因此，理解 Token 的安全机制并正确实现至关重要。

传统 Session 方案依赖服务端存储会话信息，其主要特点包括：

服务端保存会话状态
通过 Cookie 传递 Session ID
需要额外的存储开销

JWT 是一种自包含的 Token 方案，其特点包括：

由 Header、Payload 和 Signature 三部分组成
采用签名机制保证 Token 完整性
支持多种签名算法（HS256, RS256 等）

OAuth 2.0 是一种授权框架，其特点包括：

支持多种授权模式
使用 Access Token 和 Refresh Token
通常与 JWT 结合使用

对于算法选择，建议：

对称加密：HMAC-SHA256（适用于单服务场景）
非对称加密：RS256（适用于多服务场景）
避免使用已被证明不安全的算法（如 HS1）

import jwt
import datetime
from jwt.exceptions import InvalidSignatureError, ExpiredSignatureError

# 生成 Token
def generate_token(user_id, secret_key):
    payload = {
        'user_id': user_id,
        'exp': datetime.datetime.utcnow() + datetime.timedelta(hours=1),
        'iat': datetime.datetime.utcnow(),
        'nonce': '随机字符串'  # 防止重放攻击
    }
    return jwt.encode(payload, secret_key, algorithm='HS256')

# 验证 Token
def verify_token(token, secret_key):
    try:
        payload = jwt.decode(token, secret_key, algorithms=['HS256'])
        return payload
    except InvalidSignatureError:
        print('签名验证失败')
        return None
    except ExpiredSignatureError:
        print('Token 已过期')
        return None

const jwt = require('jsonwebtoken');
const crypto = require('crypto');

// 生成 Token
function generateToken(userId, secretKey) {
    const payload = {
        userId: userId,
        exp: Math.floor(Date.now() / 1000) + (60 * 60), // 1 小时后过期
        iat: Math.floor(Date.now() / 1000),
        nonce: crypto.randomBytes(16).toString('hex') // 防止重放攻击
    };
    return jwt.sign(payload, secretKey, { algorithm: 'HS256'});
}

// 验证 Token
function verifyToken(token, secretKey) {
    try {return jwt.verify(token, secretKey, { algorithms: ['HS256'] });
    } catch (err) {console.error('Token 验证失败:', err.message);
        return null;
    }
}