利用JWT生成Token

最新推荐文章于 2024-05-15 14:16:35 发布
最新推荐文章于 2024-05-15 14:16:35 发布
阅读量1.6k 收藏 10
点赞数 1
分类专栏： Java web 文章标签： JWT Token JAVA
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/GG_and_DD/article/details/84314872
版权

开篇

实现Token的方式有很多，本篇介绍的是利用Json Web Token(JWT)生成的Token.JWT生成的Token有什么好处呢？

  • 安全性比较高，加上密匙加密而且支持多种算法。
  • 携带的信息是自定义的，而且可以做到验证token是否过期。
  • 验证信息可以由前端保存，后端不需要为保存token消耗内存。

本篇分3部分进行讲解。

    1. 什么是JWT
    1. JWT的代码实现
      • 用HS256 对称算法加密
      • 用RS256 非对称算法加密
    1. 总结

如果原理很难懂，没关系。可以直接看JWT的代码实现。代码已经上传github。已经对代码进行封装成工具类。可以直接使用。

什么是JWT

JSON Web Token 简称JWT。
一个JWT实际上就是一个字符串，它由三部分组成，头部、载荷与签名。
JWT生成的token是这样的

eyJpc3MiOiJKb2huI.eyJpc3MiOiJ.Kb2huIFd1IEp

生成的token，是3段，用.连接。下面有解释。

头部

用于描述关于该JWT的最基本的信息，例如其类型以及签名所用的算法等。这也可以被表示成一个JSON对象。
例如：

{
   "typ": "JWT",
  "alg": "HS256"
}

载荷

其实就是自定义的数据，一般存储用户Id，过期时间等信息。也就是JWT的核心所在，因为这些数据就是使后端知道此token是哪个用户已经登录的凭证。而且这些数据是存在token里面的，由前端携带，所以后端几乎不需要保存任何数据。
例如：

{
  "uid": "xxxxidid",  //用户id
  "exp": "12121212"  //过期时间
}

签名

签名其实就是：
1.头部和载荷各自base64加密后用.连接起来，然后就形成了xxx.xx的前两段token。
2.最后一段token的形成是，前两段加入一个密匙用HS256算法或者其他算法加密形成。
3. 所以token3段的形成就是在签名处形成的。

JWT的原理参考文章

代码实现

1.看代码前一定要知道JWT是由头部、载荷与签名组成。
2.代码已上传github,希望点个赞
3. 代码将JWT封装成两个工具类，可以直接调用。

需要下载的jar包

<dependency>
            <groupId>com.nimbusds</groupId>
            <artifactId>nimbus-jose-jwt</artifactId>
            <version>6.0</version>
</dependency>

HS256 对称加密

生成token
 /**
     * 创建秘钥
     */
    private static final byte[] SECRET = "6MNSobBRCHGIO0fS6MNSobBRCHGIO0fS".getBytes();

    /**
     * 过期时间5秒
     */
    private static final long EXPIRE_TIME = 1000 * 5;


    /**
     * 生成Token
     * @param account
     * @return
     */
    public static String buildJWT(String account) {
        try {
            /**
             * 1.创建一个32-byte的密匙
             */
            MACSigner macSigner = new MACSigner(SECRET);
            /**
             * 2. 建立payload 载体
             */
            JWTClaimsSet claimsSet = new JWTClaimsSet.Builder()
                    .subject("doi")
                    .issuer("http://www.doiduoyi.com")
                    .expirationTime(new Date(System.currentTimeMillis() + EXPIRE_TIME))
                    .claim("ACCOUNT",account)
                    .build();

            /**
             * 3. 建立签名
             */
            SignedJWT signedJWT = new SignedJWT(new JWSHeader(JWSAlgorithm.HS256), claimsSet);
            signedJWT.sign(macSigner);

            /**
             * 4. 生成token
             */
            String token = signedJWT.serialize();
            return token;
        } catch (KeyLengthException e) {
            e.printStackTrace();
        } catch (JOSEException e) {
            e.printStackTrace();
        }
        return null;
    }
验证token
 /**
     * 校验token
     * @param token
     * @return
     */
    public static String vaildToken(String token ) {
        try {
            SignedJWT jwt = SignedJWT.parse(token);
            JWSVerifier verifier = new MACVerifier(SECRET);
            //校验是否有效
            if (!jwt.verify(verifier)) {
                throw ResultException.of(-1, "Token 无效");
            }

            //校验超时
            Date expirationTime = jwt.getJWTClaimsSet().getExpirationTime();
            if (new Date().after(expirationTime)) {
                throw ResultException.of(-2, "Token 已过期");
            }

            //获取载体中的数据
            Object account = jwt.getJWTClaimsSet().getClaim("ACCOUNT");
            //是否有openUid
            if (Objects.isNull(account)){
                throw ResultException.of(-3, "账号为空");
            }
            return account.toString();
        } catch (ParseException e) {
            e.printStackTrace();
        } catch (JOSEException e) {
            e.printStackTrace();
        }
        return null;
    }
调用的业务逻辑
 public class TestHS256 {

    public static void main(String[] args) throws InterruptedException {
        TestHS256 t = new TestHS256();
        t.testHS256();
    }

    //测试HS256加密生成Token
    public void testHS256() throws InterruptedException {
        String token = JWTHS256.buildJWT("account123");
        //解密token
        String account = JWTHS256.vaildToken(token);
        System.out.println("校验token成功，token的账号："+account);

        //测试过期
        Thread.sleep(10 * 1000);
        account = JWTHS256.vaildToken(token);
        System.out.println(account);
    }
}
结果

校验token成功，token的账号：account123
测试token过期------
Exception in thread "main" token.ResultException: Token 已过期
	at token.ResultException.of(ResultException.java:59)
	at token.jwt.JWTHS256.vaildToken(JWTHS256.java:89)
	at token.jwt.TestHS256.testHS256(TestHS256.java:24)
	at token.jwt.TestHS256.main(TestHS256.java:11)

RS256 非对称加密

生成加密密钥
/**
     * 创建加密key
     */
    public static RSAKey getKey() throws JOSEException {
        RSAKeyGenerator rsaKeyGenerator = new RSAKeyGenerator(2048);
        RSAKey rsaJWK = rsaKeyGenerator.generate();
        return rsaJWK;
    }
生成token
 /**
     * 过期时间5秒
     */
    private static final long EXPIRE_TIME = 1000 * 5;
    private static RSAKey rsaKey;
    private static RSAKey publicRsaKey;

    static {
        /**
         * 生成公钥，公钥是提供出去，让使用者校验token的签名
         */
        try {
            rsaKey = new RSAKeyGenerator(2048).generate();
            publicRsaKey = rsaKey.toPublicJWK();

        } catch (JOSEException e) {
            e.printStackTrace();
        }
    }


    public static String buildToken(String account) {
        try {
            /**
             * 1. 生成秘钥,秘钥是token的签名方持有，不可对外泄漏
             */
            RSASSASigner rsassaSigner = new RSASSASigner(rsaKey);

            /**
             * 2. 建立payload 载体
             */
            JWTClaimsSet claimsSet = new JWTClaimsSet.Builder()
                    .subject("doi")
                    .issuer("http://www.doiduoyi.com")
                    .expirationTime(new Date(System.currentTimeMillis() + EXPIRE_TIME))
                    .claim("ACCOUNT",account)
                    .build();

            /**
             * 3. 建立签名
             */
            SignedJWT signedJWT = new SignedJWT(new JWSHeader(JWSAlgorithm.RS256), claimsSet);
            signedJWT.sign(rsassaSigner);

            /**
             * 4. 生成token
             */
            String token = signedJWT.serialize();
            return token;

        } catch (JOSEException e) {
            e.printStackTrace();
        }
        return null;
    }
验证token
 public static String volidToken(String token) {
        try {
            SignedJWT jwt = SignedJWT.parse(token);
            //添加私密钥匙 进行解密
            RSASSAVerifier rsassaVerifier = new RSASSAVerifier(publicRsaKey);

            //校验是否有效
            if (!jwt.verify(rsassaVerifier)) {
                throw ResultException.of(-1, "Token 无效");
            }

            //校验超时
            if (new Date().after(jwt.getJWTClaimsSet().getExpirationTime())) {
                throw ResultException.of(-2, "Token 已过期");
            }

            //获取载体中的数据
            Object account = jwt.getJWTClaimsSet().getClaim("ACCOUNT");


            //是否有openUid
            if (Objects.isNull(account)){
                throw ResultException.of(-3, "账号为空");
            }
            return account.toString();
        } catch (ParseException e) {
            e.printStackTrace();
        } catch (JOSEException e) {
            e.printStackTrace();
        }
        return "";
    }
业务逻辑调用

public class TestRS256 {

    public static void main(String[] args) throws InterruptedException {
        TestRS256 t = new TestRS256();
        t.testRS256();
    }

    //测试RS256加密生成Token
    public void testRS256() throws InterruptedException {
        String token = JWTRSA256.buildToken("account123");
        //解密token
        String account = JWTRSA256.volidToken(token);
        System.out.println("校验token成功，token的账号："+account);

        //测试过期
        Thread.sleep(10 * 1000);
        account = JWTRSA256.volidToken(token);
        System.out.println(account);
    }
}
结果

校验token成功，token的账号：account123
测试token过期------
Exception in thread "main" token.ResultException: Token 已过期
	at token.ResultException.of(ResultException.java:59)
	at token.jwt.JWTRSA256.volidToken(JWTRSA256.java:96)
	at token.jwt.TestRS256.testRS256(TestRS256.java:24)
	at token.jwt.TestRS256.main(TestRS256.java:11)

总结

JWT 的实践其实还是挺简单。安全性也是得到了保证，后端只需要保存着密匙，其他数据可以保存在token，由前端携带，这样可以减低后端的内存消耗。
虽然token是加密的，但是携带的验证数据还是不要是敏感数据.

给我丶鼓励
关注
  • 1
    点赞
  • 踩
  • 10
    收藏
    觉得还不错? 一键收藏
  • 2
    评论
专栏目录
安全框架知识概括
weixin_41005188的博客
03-02 2877
安全框架知识概括认证和授权的区别oAuth、oAuth2简介JWT安全框架心得加密算法常见web应用攻击 认证和授权的区别 认证和授权记忆法： 认证是authentication，授权是authorization authorization的author是作者，作者已经有了认证身份了就是作者。 而剩下的authen则是认证。 认证和授权简介： 飞机例子： ①你要登机，你需要出示你的身份证和机票，身份证是为了证明你张三确实是你张三，这就是 authentication； ②而机票是为了证明你张三确实买了
jwt-go（Json web token）之ecdsa（椭圆曲线）方法
weixin_42117918的博客
06-29 509
代码示例： package main import ( "crypto/ecdsa" "crypto/elliptic" "crypto/rand" "errors" "fmt" "github.com/dgrijalva/jwt-go" "time" ) var privateKey *ecdsa.PrivateKey type Claims struct { UserId uint jwt.StandardClaims } func main() { var err err
C++ JWT的使用
最新发布
auccy的博客
05-15 199
C++使用JWT加密参数
JWT-生成token
m0_69128892的博客
05-11 7079
一、什么是JWT JWT 即Json Web Token，将用户登录态以及数据用加密的json格式存储在客户端，服务端可以完全依靠这个字符串认定用户身份。简单来说，这是一种用户身份认证的解决方案。 二、JWT的组成 一个JWT实际上就是一个字符串，由三部分组成分别是： header（头部） payload（载荷） signature（签名） 结构如下：header.payload.signature 1.header（头部） header（头部）的信息指定了其Token类型和所使用的加密算法。 示例：
永久token
我是一只程序⚪的技术交流平台
07-23 4183
在HTTP检查的时候，出现如下错误： 401的意思代表访问由于凭据无效被拒绝，总结一下就是我们设置的token过期了，那如何设置一个永久有效的token呢？ 我们的token认证是通过JWT实现的，JSON Web Token（JWT）是目前最流行的跨域身份验证解决方案。 JWT TOKEN组成 一个JWT TOKEN为三个部分组成： JWT头 JWT头部分是一个描述JWT元数据的JSON对...
jwt了解及简单的token代码生成：
weixin_43750002的博客
04-14 1424
Json web token (JWT), 是为了在网络应用环境间传递声明而执行的一种基于JSON的开放标准（(RFC 7519).该token被设计为紧凑且安全的，特别适用于分布式站点的单点登录（SSO）场景。JWT的声明一般被用来在身份提供者和服务提供者间传递被认证的用户身份信息，以便于从资源服务器获取资源，也可以增加一些额外的其它业务逻辑所必须的声明信息，该token也可直接被用于认证，也可被加密。 在了解jwt之前，我们要先回顾下session认证： 网页版登陆验证时，我们使用cooki..
golang jwt+token验证的实现
12-16
Token验证是验证用户身份的重要方式，在golang开发中具有广泛应用，文中主要阐述了利用jwt包加密后的token验证。 导入包： import ( "github.com/dgrijalva/jwt-go" ) // GenerateToken 生成Token func ...
利用go-zero在Go中快速实现JWT认证的步骤详解
12-16
我们定义一个协议供客户端调用获取JWT token，我们新建一个目录jwt然后在目录中执行 goctl api -o jwt.api，将生成的jwt.api改成如下： type JwtTokenRequest struct { } type JwtTokenResponse struct { Access
详解ASP.NET Core Token认证
01-20
令牌认证（Token Authentication）已经成为...其中包括保护Bearer Jwt的路由功能，但是移除了生成token和验证token的部分，这些可以自定义或者使用第三方库来实现，得益于此，MVC和Web api项目可以使用令牌认证，而且
请求时token过期自动刷新token操作
10-14
综上所述，这个实现利用了`axios`的拦截器功能，结合`localStorage`存储`token`，以及一个订阅-发布模型来处理`token`过期的情况。当`token`过期时，系统会自动刷新并恢复原来的请求，确保用户体验的连续性。这样的...
JWT介绍和实践，带demo
03-03
JSON Web Token (JWT) 是一种开放标准（RFC 7519），用于在网络应用环境间安全地传递声明。JWT的设计目标是紧凑且安全，尤其适用于分布式站点的单点登录（SSO）场景。JWT令牌包含了关于认证用户的信息，可以在身份...
JWT Token生成及验证
11-03
请参考博客：http://www.cnblogs.com/chenwolong/p/Token.html
jwt解析token HS256算法
热门推荐
大数据爱好者
11-07 1万+
package com.irootech.customercloud.common.util; import com.google.gson.Gson; import com.irootech.customercloud.bean.UserRegReporBean; import io.jsonwebtoken.Claims; import io.jsonwebtoken.JwtBuilder;...
jwt生成token
m0_59806423的博客
04-03 1407
http本身是一种无状态的协议，而这就意味着如果用户向我们的应用提供了用户名和密码来进行用户认证，那么下一次请求时，用户还再一次进行用户认证。因为根据http协议，我们不知道是哪个用户发出的请求，所以为了能让我们应用识别是哪一个用户发出的请求，我们只能在服务器端存储一份用户登录的信息，这份登录信息会在响应时传递给浏览器。告诉其保存为cookie，以便下次请求时发送给我们的应用，这样我们的用户就能识别是哪一个用户了，这就是传统的基于session认证。
hyperf使用jwt的redis储存驱动实现用户token认证
Enjun97的博客
08-27 1640
第一步：引入jwt-auth组件包 composer require phper666/jwt-auth ps:确保hyperf/cache组件已安装,因为在后面需要用到 第二步：发布配置文件 php bin/hyperf.php jwt:publish --config 执行完毕后,config/autoload文件下会自动生成一个jwt.php的配置文件,这里可以配置关于jwt参数 第三步：编写生成token的业务代码 <?php namespace App\Control..
使用Spring Security OAuth2使用JWT生成token及自定义token携带的信息(十)
FAIRYTAIL的博客
08-31 5949
自定义token携带信息很简单，主要步骤就是自定义TokenEnhancer，然后将自定义的TokenEnhancer加入到TokenEnhancerChain中，最后设置到端点中endpoints.tokenEnhancer(tokenEnhancerChain)。
Spring Security Oauth2使用JWT生成Token
LiaoHongHB的博客
11-13 7710
转载务必说明出处：https://blog.csdn.net/LiaoHongHB/article/details/84031281 在我们平时使用oauth2的协议中，生成的token是基于oauth2协议本身的生成策略，如下面的代码（一般在登陆成功的handler中生成token）.： package com.car.springsecurity.handle; import com....
springboot-jjwt HS256加解密(PS：验证就是解密)
weixin_30768661的博客
05-17 3372
最近项目需要用到类似access token进行加解密、验签的需求，本人在此做个小笔记记录一下，以供他人参考。 一共会用到2中加解密，HS256 和 RS256，本文只是对 HS256做个备注，好了直接上代码，先引入jar包 <dependency> <groupId>io.jsonwebtoken</groupId> <artifactI...
JWT工具类
Creative_Space的博客
12-10 96
【代码】2022-12-10_JWT工具类。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值