Java面试指北！13个认证授权常见面试题/知识点总结！| JavaGuide

大家好，我是 Guide哥！端午已过，又要开始工作学习啦！

我发现有很多小伙伴对认证授权方面的知识不是特别了解，搞不清 Session 认证、JWT 以及 Cookie 这些概念。

所以，根据我根据日常对这部分学习已经在项目中的实际运用总结了这 13 个相关的问题并且附上了详细的回答。希望能够对大家有帮助！

认证 (Authentication) 和授权 (Authorization)的区别是什么？

这是一个绝大多数人都会混淆的问题。首先先从读音上来认识这两个名词，很多人都会把它俩的读音搞混，所以我建议你先先去查一查这两个单词到底该怎么读，他们的具体含义是什么。

说简单点就是：

• 认证 (Authentication)： 你是谁。
• 授权 (Authorization)： 你有权限干什么。

稍微正式点（啰嗦点）的说法就是 ：

• Authentication（认证） 是验证您的身份的凭据（例如用户名/用户 ID 和密码），通过这个凭据，系统得以知道你就是你，也就是说系统存在你这个用户。所以，Authentication 被称为身份/用户验证。
• Authorization（授权） 发生在 Authentication（认证） 之后。授权嘛，光看意思大家应该就明白，它主要掌管我们访问系统的权限。比如有些特定资源只能具有特定权限的人才能访问比如 admin，有些对系统资源操作比如删除、添加、更新只能特定人才具有。

认证 ：

授权：

这两个一般在我们的系统中被结合在一起使用，目的就是为了保护我们系统的安全性。

RBAC 模型了解吗？

系统权限控制最常采用的访问控制模型就是 RBAC 模型 。

什么是 RBAC 呢？

RBAC 即基于角色的权限访问控制（Role-Based Access Control）。这是一种通过角色关联权限，角色同时又关联用户的授权的方式。

简单地说：一个用户可以拥有若干角色，每一个角色有可以被分配若干权限这样，就构造成“用户-角色-权限” 的授权模型。在这种模型中，用户与角色、角色与权限之间构成了多对多的关系，如下图

在 RBAC 中，权限与角色相关联，用户通过成为适当角色的成员而得到这些角色的权限。这就极大地简化了权限的管理。

通常 RBAC 下的权限设计相关的表有5 张，其中有 2 张用于建立表之间的联系：

通过这个权限模型，我们可以创建不同的角色并为不同的角色分配不同的权限范围（菜单）。

通常来说，如果系统对于权限控制要求比较严格的话，一般都会选择使用 RBAC 模型来做权限控制。

什么是 Cookie ? Cookie 的作用是什么?

Cookie

Session

维基百科是这样定义

Cookie

Cookies

简单来说：

Cookie

下面是

Cookie

1. 我们在

   Cookie

   中保存已经登录过的用户信息，下次访问网站的时候页面可以自动帮你登录的一些基本信息给填了。除此之外，

   Cookie

   还能保存用户首选项，主题和其他设置信息。
2. 使用

   Cookie

   保存

   Session

   或者

   Token

   ，向后端发送请求的时候带上

   Cookie

   ，这样后端就能取到

   Session

   或者

   Token

   了。这样就能记录用户当前的状态了，因为 HTTP 协议是无状态的。

3. Cookie

   还可以用来记录和分析用户行为。举个简单的例子你在网上购物的时候，因为 HTTP 协议是没有状态的，如果服务器想要获取你在某个页面的停留状态或者看了哪些商品，一种常用的实现方式就是将这些信息存放在

   Cookie

4. ......

如何在项目中使用 Cookie 呢？

我这里以 Spring Boot 项目为例。

1)设置

Cookie

@GetMapping("/change-username")
public String setCookie(HttpServletResponse response) {
// 创建一个 cookie
Cookie cookie = new Cookie("username", "Jovan");
//设置 cookie过期时间
cookie.setMaxAge(7 * 24 * 60 * 60); // expires in 7 days
//添加到 response 中
response.addCookie(cookie);

return "Username is changed!";
}

2) 使用 Spring 框架提供的

@CookieValue

@GetMapping("/")
public String readCookie(@CookieValue(value = "username", defaultValue = "Atta") String username) {
return "Hey! My username is " + username;
}

3) 读取所有的

Cookie

@GetMapping("/all-cookies")
public String readAllCookies(HttpServletRequest request) {

Cookie[] cookies = request.getCookies();
if (cookies != null) {
return Arrays.stream(cookies)
.map(c -> c.getName() + "=" + c.getValue()).collect(Collectors.joining(", "));
}

return "No cookies";
}

更多关于如何在 Spring Boot 中使用

Cookie

Cookie 和 Session 有什么区别？

Session

Session

Cookie

Session

Session

Cookie

Cookie

那么，如何使用

Session

如何使用 Session-Cookie 方案进行身份验证？

很多时候我们都是通过

SessionID

SessionID

1. 用户成功登陆系统，然后返回给客户端具有

   SessionID

   的

   Cookie

2. 当用户向后端发起请求的时候会把

   SessionID

   带上，这样后端就知道你的身份状态了。

关于这种认证方式更详细的过程如下：

1. 用户向服务器发送用户名、密码、验证码用于登陆系统。
2. 服务器验证通过后，服务器为用户创建一个

   Session

   ，并将

   Session

   信息存储起来。
3. 服务器向用户返回一个

   SessionID

   ，写入用户的

   Cookie

   。
4. 当用户保持登录状态时，

   Cookie

   将与每个后续请求一起被发送出去。
5. 服务器可以将存储在

   Cookie

   上的

   SessionID

   与存储在内存中或者数据库中的

   Session

   信息进行比较，以验证用户的身份，返回给用户客户端响应信息的时候会附带用户当前的状态。

使用

Session

1. 依赖

   Session

   的关键业务一定要确保客户端开启了

   Cookie

   。
2. 注意

   Session

   的过期时间。

另外，Spring Session 提供了一种跨多个应用程序或实例管理用户会话信息的机制。如果想详细了解可以查看下面几篇很不错的文章：

• Getting Started with Spring Session
• Guide to Spring Session
• Sticky Sessions with Spring Session & Redis

多服务器节点下 Session-Cookie 方案如何做？

Session-Cookie 方案在单体环境是一个非常好的身份认证方案。但是，当服务器水平拓展成多节点时，Session-Cookie 方案就要面临挑战了。

举个例子：假如我们部署了两份相同的服务 A，B，用户第一次登陆的时候 ，Nginx 通过负载均衡机制将用户请求转发到 A 服务器，此时用户的 Session 信息保存在 A 服务器。结果，用户第二次访问的时候 Nginx 将请求路由到 B 服务器，由于 B 服务器没有保存 用户的 Session 信息，导致用户需要重新进行登陆。

我们应该如何避免上面这种情况的出现呢？

有几个方案可供大家参考：

1. 某个用户的所有请求都通过特性的哈希策略分配给同一个服务器处理。这样的话，每个服务器都保存了一部分用户的 Session 信息。服务器宕机，其保存的所有 Session 信息就完全丢失了。
2. 每一个服务器保存的 Session 信息都是互相同步的，也就是说每一个服务器都保存了全量的 Session 信息。每当一个服务器的 Session 信息发生变化，我们就将其同步到其他服务器。这种方案成本太大，并且，节点越多时，同步成本也越高。
3. 单独使用一个所有服务器都能访问到的数据节点（比如缓存）来存放 Session 信息。为了保证高可用，数据节点尽量要避免是单点。

如果没有 Cookie 的话 Session 还能用吗？

这是一道经典的面试题！

一般是通过

Cookie

SessionID

Cookie

SessionID

Cookie

Session

但是，并不是没有

Cookie

Session

SessionID

url

https://javaguide.cn/?Session_id=xxx

SessionID

为什么 Cookie 无法防止 CSRF 攻击，而 Token 可以？

CSRF （Cross Site Request Forgery）一般被翻译为 跨站请求伪造 。那么什么是 跨站请求伪造 呢？说简单用你的身份去发送一些对你不友好的请求。举个简单的例子：

小壮登录了某网上银行，他来到了网上银行的帖子区，看到一个帖子下面有一个链接写着“科学理财，年盈利率过万”，小壮好奇的点开了这个链接，结果发现自己的账户少了 10000 元。这是这么回事呢？原来黑客在链接中藏了一个请求，这个请求直接利用小壮的身份给银行发送了一个转账请求,也就是通过你的 Cookie 向银行发出请求。

<a src=http://www.mybank.com/Transfer?bankId=11&money=10000>科学理财，年盈利率过万</>

上面也提到过，进行

Session

Cookie

SessionId

SessionId

SessionId

SessionId

SessionId

Cookie

SessionId

Session

Cookie

SessionId

但是，我们使用

Token

Token

localStorage

Token

Token

需要注意的是不论是

Cookie

Token

XSS 中攻击者会用各种方式将恶意代码注入到其他用户的页面中。就可以通过脚本盗用信息比如

Cookie

推荐阅读：如何防止 CSRF 攻击？—美团技术团队

什么是 Token?什么是 JWT?

我们在前面的问题中探讨了使用

Session

Session

Session

Cookie

有没有一种不需要自己存放

Session

Token

Session

Token

JWT 本质上就一段签名的 JSON 格式的数据。由于它是带有签名的，因此接收者便可以验证它的真实性。

下面是 RFC 7519 对 JWT 做的较为正式的定义。

JWT 由 3 部分构成:

1. Header : 描述 JWT 的元数据，定义了生成签名的算法以及

   Token

   的类型。
2. Payload : 用来存放实际需要传递的数据
3. Signature（签名） ：服务器通过

   Payload

   、

   Header

   和一个密钥(

   secret

   )使用

   Header

   里面指定的签名算法（默认是 HMAC SHA256）生成。

如何基于 Token 进行身份验证？

在基于 Token 进行身份验证的的应用程序中，服务器通过

Payload

Header

secret

Token

Token

Token

Authorization: Bearer Token

1. 用户向服务器发送用户名和密码用于登陆系统。
2. 身份验证服务响应并返回了签名的 JWT，上面包含了用户是谁的内容。
3. 用户以后每次向后端发请求都在

   Header

   中带上 JWT。
4. 服务端检查 JWT 并从中获取用户相关信息。

什么是 SSO?

SSO(Single Sign On)即单点登录说的是用户登陆多个子系统的其中一个就有权访问与其相关的其他系统。举个例子我们在登陆了京东金融之后，我们同时也成功登陆京东的京东超市、京东国际、京东生鲜等子系统。

什么是 OAuth 2.0？

OAuth 是一个行业的标准授权协议，主要用来授权第三方应用获取有限的权限。而 OAuth 2.0 是对 OAuth 1.0 的完全重新设计，OAuth 2.0 更快，更容易实现，OAuth 1.0 已经被废弃。详情请见：rfc6749。

实际上它就是一种授权机制，它的最终目的是为第三方应用颁发一个有时效性的令牌 Token，使得第三方应用能够通过该令牌获取相关的资源。

OAuth 2.0 比较常用的场景就是第三方登录，当你的网站接入了第三方登录的时候一般就是使用的 OAuth 2.0 协议。

另外，现在 OAuth 2.0 也常见于支付场景（微信支付、支付宝支付）和开发平台（微信开放平台、阿里开放平台等等）。

微信支付账户相关参数：

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-yqIC91bs-1623925796543)(./images/basis-of-authority-certification/微信支付-fnglfdlgdfj.png)]

下图是 Slack OAuth 2.0 第三方登录的示意图：

推荐阅读：

• OAuth 2.0 的一个简单解释
• 10 分钟理解什么是 OAuth 2.0 协议
• OAuth 2.0 的四种方式
• GitHub OAuth 第三方登录示例教程

花了半个月写的最新版 Java学习路线已近更新！可能是你看过最用心、最全面的 Java 后端学习路线。

最适合新手的Java系统学习路线！

我是 Guide哥，拥抱开源，喜欢烹饪。开源项目 JavaGuide 作者，Github：Snailclimb - Overview 。未来几年，希望持续完善 JavaGuide，争取能够帮助更多学习 Java 的小伙伴！共勉！凎！点击查看我的2020年工作汇报！

原创不易，欢迎点赞分享，欢迎关注 @JavaGuide,我会持续分享原创干货~

本回答为我本人原创，如需转载，还请注明出处啊！