JWT令牌

一、JWT令牌

• 全称：JSON Web Token （https://jwt.io/）
• 定义了一种简洁的、自包含的格式，用于在通信双方以json数据格式安全的传输信息。由于数字签名的存在，这些信息是可靠的。
• 组成
  • 第一部分：Header(头）， 记录令牌类型、签名算法等。 例如：{“alg”:“HS256”,“type”:“JWT”}
  • 第二部分：Payload(有效载荷），携带一些自定义信息、默认信息等。 例如：{“id”:“1”,“username”:“Tom”}
  • 第三部分：Signature(签名），防止Token被篡改、确保安全性。将header、payload，并加入指定秘钥，通过指定签名算法计算而来。

使用（java）：

1. 引入依赖：

<dependency>    
	<groupId>io.jsonwebtoken</groupId>    
	<artifactId>jjwt</artifactId>    
<version>0.9.1</version></dependency>

2. 使用提供的方法Jwts链式编程进行加密

	public void genJwt(){    
	Map<String,Object> claims = new HashMap<>();    
	claims.put(“id”,1);    
	claims.put(“username”,“Tom”);
	    
	String jwt = Jwts.builder()            
	.setClaims(claims) //自定义内容(载荷)  
	.signWith(SignatureAlgorithm.HS256, “Venous”) //签名算法 Venous是对应的密钥
	.setExpiration(new Date(System.currentTimeMillis() + 12*3600*1000)) //有效期
	.compact();    
	System.out.println(jwt);}

3. 解密

public void parseJwt(){    
	Claims claims = Jwts.parser()            
		.setSigningKey(“itheima”) //指定签名秘钥
		.parseClaimsJws(“之前加密的密文”) //解析令牌            
		.getBody();  // 获取到自定义的加密信息 即Payload(有效载荷）
		System.out.println(claims);}

JWT校验时使用的签名秘钥，必须和生成JWT令牌时使用的秘钥是配套的。
如果JWT令牌解析校验时报错，则说明 JWT令牌被篡改 或 失效了，令牌非法。

使用（go）

1. 添加JWT库

   go get -u github.com/golang-jwt/jwt/v5
   

2. 导入

   import "github.com/golang-jwt/jwt/v5"
   

3. 生成token

   	// 定义一个结构体，传递载核信息
   	type UserClaims struct {
   		UserID   int
   		UserName string
   		jwt.RegisteredClaims
   	}
   
   	// 定义一个密钥
   	const key = "Venous"
   	// 设置jwt的载核信息
   	claim := UserClaims{
   		UserID:   req.Id,
   		UserName: req.Name,
   		RegisteredClaims: jwt.RegisteredClaims{
   			Subject:   req.Name,                                             // Subject（主题）
   			ExpiresAt: jwt.NewNumericDate(time.Now().Add(time.Minute * 10)), // 过期时间
   		},
   	}
   	// 生成jwt令牌
   	token, err := jwt.NewWithClaims(jwt.SigningMethodHS256, claim).SignedString([]byte(key))
   	if err != nil {
   		return nil, err
   	}
   

4. 校验

	// 定义JWT的载荷（payload）部分
	type UserClaims struct {
		UserID               uint
		UserName             string
		jwt.RegisteredClaims // RegisteredClaims结构体包含了JWT标准中的注册声明，如Subject（主题）、ExpiresAt（过期时间）等。
	}
	// 对应的签名和token
	key := "Venuse"

	tokenStr := req.Token

	//使用jwt.ParseWithClaims函数来解析JWT字符串。这个函数需要三个参数：
	//token：要解析的JWT字符串。
	//&UserClaims{}：一个指向UserClaims类型实例的指针，用于存放解析后的载荷信息。
	//一个函数，用于提供JWT签名的密钥。
	result, err := jwt.ParseWithClaims(tokenStr, &UserClaims{}, func(token *jwt.Token) (interface{}, error) {
		return key, nil
	})
	// 进行验证
	if err == nil && result.Valid { // result.Valid表示JWT是否有效（即签名是否正确）
		claims, ok := result.Claims.(*UserClaims)
		if ok {
			fmt.Println("token里的信息", claims.UserName, claims.UserID)
			res.Message = "token验证成功--->"
			res.Name = claims.UserName
			res.ID = int(claims.UserID)
		} else {
			res.Message = "token验证失败"
		}
	}

然后通过拦截器或者过滤器，进行验证