JWT（JSON Web Tokens）是一种利用开放跨域资源共享（CORS）策略的开发者友好的跨站点认证解决方案。它使用JSON对象作为令牌、使用密钥进行签名和加密，以确保认证及隐私性。在有些应用场景中，通过使用Redis集群，原有JWT的安全认证可以进一步提升其安全性，并且值得讨论和探索。
需要说明的是JWT的安全性。JWT的安全性是基于JSON对象和签名的是保护的，签名的原理可以理解为，对某个JSON对象使用密钥进行签名，当服务端发回该该JSON对象时，可以用密钥再次进行签名，此时如果签名一样，则证明该JSON对象是有效的，如果签名不一样，则说明该JSON对象是无效的，这样可以作为一种身份验证的依据。
然而，单一的JWT安全认证也存在一定的安全隐患，当未经签名的JWT对象被成功窃取后，就可以伪装成真正的JWT对象。而这时使用Redis集群就能有效提升JWT的安全性。Redis集群能够实现集群化管理、分布式存储，JWT存储到Redis集群上，借助Redis集群的特性，可以以更大的安全性存储JWT对象，在窃取失败后，重新生成新的JWT就可以再次获取有效的JWT对象，从而保证数据安全。
结合本文前述，我们可以给出使用Redis集群的JWT安全认证的代码如下：
//生成JWT的token
public static String JWTToken{
Date exp = new Date(System.currenttimeMillis() + 3600*1000);
long randomLong = Math.abs(UUID.randomUUID().getLeastSignificantBits());
String jwtToken = Jwts.builder()
.issuer(“user”)
.setId(String.valueOf(randomLong))
.setExpiration(exp)
.signWith(SignatureAlgorithm.HS256,secretKey)
.compact();
//Redis颁发token
Jedis jedis = new Jedis(“127.0.0.1”);
jedis.set(String.valueOf(randomLong), jwtToken);
jedis.expireAt(String.valueOf(randomLong), exp.getTime());
jedis.close();
return jwtToken;
}
//验证JWT的token
public static boolean JWTTokenVerification(String token) {
String id = Jwts.parser().setSigningKey(secretKey).parseClmsJws(token).getBody().getId();
Jedis jedis = new Jedis(“127.0.0.1”);
String value = jedis.get(id)).getToken().getBody().getId();
jedis.close();
if(token.equals(value)) {
return true;
} else {
return false;
}
}
上述内容是使用Redis集群的JWT安全认证一般过程，从而可以在窃取未经签名的JWT对象此时，重新生成新的JWT，从而进一步提高JWT认证的安全性。Redis集群的特性有助于提升JWT的安全性，除了上述技术特性，未来有可能在Redis集群中集成更多安全性特性。
香港服务器首选港服(Server.HK)，2H2G首月10元开通。
港服(Server.HK)（www.IDC.Net）提供简单好用，价格厚道的香港/美国云服务器和独立服务器。IDC+ISP+ICP资质。ARIN和APNIC会员。成熟技术团队15年行业经验。