实现用户个人随机salt生成jwt及鉴别用户权限的实现思路

实现用户个人随机salt生成jwt及鉴别用户权限的实现

盐值是什么？

盐值（salt）是在密码学中用于增加密码安全性的一种随机值。它通常是一个随机生成的字符串，与用户密码结合在一起，然后再进行加密处理。盐值的作用是增加密码的复杂度，防止常见的密码破解攻击。

在密码存储和验证过程中，通常使用盐值来加密用户密码，以提高密码的安全性。具体来说，加密过程通常分为以下几个步骤：

1. 生成盐值：系统会随机生成一个盐值，通常是一个足够长的随机字符串。
2. 与密码组合：将盐值与用户密码结合在一起。
3. 加密处理：对组合后的密码进行加密处理，通常使用哈希函数进行加密，生成加密后的密码。
4. 存储密码：将加密后的密码和盐值一起存储到数据库中。

而盐并不只是可以加密密码，也可以加密很多东西，例如token中的密钥可以用盐代替，使得每个用户的token加密都不一样。

盐的作用

1. 增加密码复杂度：盐值是一个随机生成的字符串，与用户密码组合后进行加密，可以大大增加密码的复杂度。即使用户使用简单的密码，通过引入盐值也能够提高密码的安全性，因为相同的密码在不同用户身上使用不同的盐值进行加密后，生成的加密密码也会不同，从而增加了破解的难度。
2. 防止彩虹表攻击：彩虹表是一种常见的密码破解方法，攻击者事先计算并存储了大量常见密码的哈希值和对应的明文密码的对应关系，然后通过比对哈希值来破解密码。盐值的引入可以有效防止彩虹表攻击，因为即使相同的密码在不同用户身上使用相同的盐值进行加密，最终生成的加密密码也会不同，从而增加了破解的难度。
3. 增加密码安全性：密码是用户账户安全的第一道防线，而盐值的引入可以有效增加密码的安全性。通过引入随机的盐值，可以大大降低密码被破解的风险，保护用户账户的安全性。
4. 提高数据安全性：除了在密码加密中的应用外，盐值还可以用于加密其他敏感数据，如 token、加密文件等。通过引入盐值进行加密，可以提高数据的安全性，防止数据被未授权的访问和篡改。

具体场景

先以具体场景开始吧，业务场景是：用户进行微信手机号快捷登录（逻辑需要实现注册用户及登录）；

目前指定的条件是：数据库用户id自增，用户在首次登录时随机生成salt，随机生成用户名，头像，指定用户权限；；；利用用户名，id，权限等级，salt生成用户token；

最后指定返回的结果是：用户生成的（个人中心的信息+生成的token）；

好了，条件列完了，接下来怎么实现呢？

以go语言中gin框架为例，这个过程需要分两大步来做，首先是生成token的方法，然后是用户初始化的方法；

这两步首先需要进行用户初始化，再进行加盐token的生成返回给前端；

初始化首先需要在拿到用户手机号后，调用函数升成用户名，用户salt，用户头像，在插入用户信息时，数据库会将用户id一并生成，并生成默认权限。

第二步：从数据库中拿出用户id，name，salt，权限。共同生成用户的token，并将用户信息连带token返回给前端。

这就出现了一个问题，中间件中每次都是要验证token是否正确和有效，如果salt放到mysql中每次验证都需要查询数据库，对性能影响很大，所以，我们就需要在用户登陆时就将用户个人信息放入redis缓存中设置过期时间，若用户活跃，那么该信息就会一直放在redis中，提升用户进行用户信心相关业务操作时的性能。