本文介绍JWT认证流程，以及如何通过控制台为HTTP触发器配置JWT认证鉴权。

背景信息

函数计算支持为HTTP触发器开启JWT认证鉴权。JWT（JSON Web Token，RFC7519）是一种基于令牌的便捷请求认证鉴权方案。用户状态信息存储在token中，由客户端提供，函数（服务端）无需存储，是一种Serverless友好的鉴权方式。函数计算可以通过用户绑定在HTTP触发器上的Public JWKS实现对HTTP调用请求的JWT认证。并根据HTTP触发器上的配置，将claims作为参数转发给函数，函数无需对请求进行鉴权，只需关注业务逻辑即可。如果需要了解JWT的token认证流程及基础知识，请参见基于JWT的token认证和JWT简介。

使用说明

  • 可以使用任何方式来生成和分发JWT，函数计算负责通过触发器配置的Public JWKS来认证JWT。
  • 支持不含kid的JWK。
  • 支持为一个触发器配置多个JWK。
  • 支持从header、Query参数（GET）、表单参数（POST）和cookie中读取Token。
  • 支持将claims作为header、Query参数（GET）、表单参数（POST）和cookie转发给函数。
重要 建议使用HTTPS来对请求中的token等敏感信息进行保护，可以有效避免Token泄漏。

JWT认证流程

jwt-auth-process
上图是函数计算HTTP触发器利用JWT实现认证的整个业务流程时序图（使用非对称加密算法），步骤详细解析如下。
  1. 客户端向自定义授权服务发起认证请求，请求中一般会携带终端用户的用户名和密码。
  2. 自定义授权服务读取请求中的验证信息（例如用户名、密码等）进行验证，验证通过之后使用私钥生成标准的token。
  3. 自定义授权服务将携带token的应答返回给客户端，客户端需要将这个token缓存到本地。
  4. 客户端向HTTP触发器发送业务请求，请求中携带token。
  5. HTTP触发器使用用户设置的公钥对请求中的token进行验证。
  6. 验证通过之后，将请求透传给受保护的函数。
  7. 受保护的函数处理业务请求，并进行应答。
  8. HTTP触发器将业务应答返回给客户端。

前提条件

操作步骤

  1. 登录函数计算控制台，在左侧导航栏，单击服务及函数。
  2. 在顶部菜单栏，选择地域，然后在服务列表页面，单击目标服务。
  3. 在函数管理页面，单击目标函数名称，然后在函数详情页面，单击触发器管理（URL）页签。
  4. 在触发器管理（URL）页签，单击HTTP触发器操作列的编辑按钮。
  5. 在编辑触发器面板，设置以下配置项，然后单击确定。
    1. 认证方式选择为JWT 认证。
      jwt_auth
    2. 配置JWKS。

      为HTTP触发器配置JWT鉴权，首先需要提供一个有效的JWKS（JSON Web Key Set）。您可以自行生成JWKS，或者搜索JSON Web Key Generator寻找在线可用的生成工具，例如mkjwk.org。如果您已经有pem格式的密钥，可以借助工具（例如jwx），将其转换为JWKS格式。

      JWKS示例如下。
      {
    "keys": [
        {
            "alg": "RS256",
            "e": "AQAB",
            "kty": "RSA",
            "n": "u1LWgoomekdOMfB1lEe96OHehd4XRNCbZRm96RqwOYTTc28Sc_U5wKV2umDzolfoI682ct2BNnRRahYgZPhbOCzHYM6i8sRXjz9Ghx3QHw9zrYACtArwQxrTFiejbfzDPGdPrMQg7T8wjtLtkSyDmCzeXpbIdwmxuLyt_ahLfHelr94kEksMDa42V4Fi5bMW4cCLjlEKzBEHGmFdT8UbLPCvpgsM84JK63e5ifdeI9NdadbC8ZMiR--dFCujT7AgRRyMzxgdn2l-nZJ2ZaYzbLUtAW5_U2kfRVkDNa8d1g__2V5zjU6nfLJ1S2MoXMgRgDPeHpEehZVu2kNaSFvDUQ",
            "use": "sig"
        }
    ]
}

      函数计算支持为一个HTTP触发器配置一组JWT（JWKS），在JWKS中寻找与token中的kid相同的JWK公钥，并使用这个公钥对token进行签名校验。一个触发器的JWKS最多只允许一个JWK的kid不存在或者为空字符串。

      目前函数计算的JWT支持如下算法。
      签名算法alg取值
      RSASSA-PKCS1-V1_5RS256，RS384，RS512
      RSASSA-PSSPS256，PS384，PS512
      Elliptic Curve (ECDSA) ES256，ES384，ES512
      HMACHS256，HS384，HS512
      EdDSAEdDSA
      重要
      • HMAC签名算法为对称加密，安全性相对较低，建议使用安全性更高的非对称加密算法。
      • 使用非对称加密算法时，出于安全考虑，您的JWT中只需要包含公钥信息即可，不建议包含私钥信息。
    3. 在JWT Token 配置配置项中，选择token所在位置和token的名称。
      token位置支持Header、Cookie、Query参数（GET）和表单参数（POST）。如果token位置选择为Header，则还需为其指定前缀，函数计算在获取Token时，会删除此前缀。set_token
    4. 在JWT Claim 转换配置项中，选择透传给函数的参数所在位置、参数原始名称和参数透传给函数之后的名称。
      映射参数位置支持Header、Cookie、Query参数（GET）和表单参数（POST）。jwt_claim_switch
    5. 设置请求匹配模式。
      • 匹配全部：所有HTTP请求都需要进行JWT校验。
      • 白名单模式：请求路径白名单中设置的Path的HTTP请求不需要JWT校验，其他请求需要JWT校验。
      • 黑名单模式：请求路径黑名单中设置的Path的HTTP请求需要JWT校验，其他请求不需要JWT校验。
      白名单模式和黑名单模式支持以下两种匹配模式。
      • 精确匹配

        请求的路径和设置的路径完全一致才可以匹配。例如，设置请求路径黑名单为/a，则来自路径/a的请求需要JWT校验，来自路径/a/的请求无需校验。

      • 模糊匹配

        支持使用通配符（*）设置路径，且通配符（*）只能放到路径的最后。例如，设置请求路径黑名单为/login/*，则来自路径前缀为/login/（例如/login/a、/login/b/c/d）的请求均需要JWT校验。

结果验证

在调测工具（本文以Postman工具为例）中，根据HTTP触发器的JWT配置，填写访问地址、Token等，验证是否可以正常访问触发器。如下图所示。

jwt-auth-result
  • ①为获取的触发器的公网访问地址。您可以在目标函数的触发器管理（URL）页签查看。
  • ②为JWT Token 配置中设置的参数名称和Token。Token示例如下。
    eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJuYW1lIjoiSm9uIFNub3ciLCJhZG1pbiI6dHJ1ZSwiZXhwIjo0ODI5NTk3NjQxfQ.eRcobbpjAd3OSMxcWbmbicOTLjO2vuLR9F2QZMK4rz1JqfSRHgwQVqNxcfOIO9ckDMNlF_3jtdfCfvXfka-phJZpHmnaQJxmnOA8zA3R4wF4GUQdz5zkt74cK9jLAXpokwrviz2ROehwxTCwa0naRd_N9eFhvTRnP3u7L0xn3ll4iOf8Q4jS0mVLpjyTa5WiBkN5xi9hkFxd__p98Pah_Yf0hVQ2ldGSyTtAMmdM1Bvzad-kdZ_wW0jcctIla9bLnOo-Enr14EsGvziMh_QTZ3HQtJuToSKZ11xkNgaz7an5de6PuF5ISXQzxigpFVIkG765aEDVtEnFkMO0xyPGLg
  • ③为Claim透传给函数后的名称。

配合自定义域名使用JWT鉴权

jwt-auth2

如上图所示，自定义域名位于HTTP触发器之前，用户的请求会先经过自定义域名的处理，然后才会被HTTP触发器处理，JWT认证鉴权是位于HTTP触发器上的逻辑。下文介绍自定义域名如何使用JWT认证鉴权。

普通自定义域名

如果为自定义域名配置了路由，未配置重写策略，那么到达HTTP请求中的Path就是自定义域名请求的Path。

假设自定义域名www.fc-jwt.com设置的路由规则如下，且函数jwt-demo的HTTP触发器设置的JWT鉴权配置中请求路径黑名单配置为/fc-jwt/auth/*。
路径服务名函数名版本
/fc-jwt/*jwtjwt-demo1

如果用户请求URL为/fc-jwt/auth/aliyun，则HTTP触发器会对请求进行校验，因为到达HTTP触发器的请求的Path与设置的请求路径黑名单匹配。

结合自定义域名的重写功能

如果为自定义域名配置了路由，且配置了重写策略，那么到达HTTP请求中的Path为自定义域名重写后的Path。关于自定义域名的重写功能，请参见配置重写策略（公测中）。

假设自定义域名www.fc-jwt.com设置的路由规则如下，函数jwt-demo的HTTP触发器设置的JWT鉴权配置中请求路径黑名单配置为/fc-jwt/auth/*，且配置了通配符重写策略（匹配规则为/fc-jwt/*，替换规则为 /$1）。
路径服务名函数名版本
/fc-jwt/*jwtjwt-demo1

如果用户请求URL为/fc-jwt/auth/aliyun，则重写后的URL为/auth/aliyun。关于通配符重写规则，请参见通配符重写。此时，HTTP触发器不会对请求进行校验，因为到达HTTP触发器的请求的Path为/auth/aliyun，与设置的请求路径黑名单不匹配。

如果将触发器请求路径黑名单配置为/auth/*，那么HTTP触发器会对URL为/fc-jwt/auth/aliyun的请求进行JWT校验。

常见问题

为什么触发器开启JWT鉴权之后，访问函数提示：invalid or expired jwt？

该提示说明JWT鉴权失败，可能原因如下。
  • 您的Token签名、格式等非法，导致校验出错。
  • 您的Token已过期，导致校验出错。
  • 您的Token中的kid与您在触发器中配置的JWKS不匹配，或者匹配到的JWK不准确，无法正确检验Token。

为什么触发器开启JWT鉴权之后，访问函数提示：the jwt token is missing？

该提示说明函数计算无法根据JWT Token配置找到Token，请检查请求中是否携带了Token、Token的位置或Token的名称是否正确。