一、JWT令牌
- 全称:JSON Web Token (https://jwt.io/)
- 定义了一种简洁的、自包含的格式,用于在通信双方以json数据格式安全的传输信息。由于数字签名的存在,这些信息是可靠的。
- 组成
- 第一部分:Header(头), 记录令牌类型、签名算法等。 例如:{“alg”:“HS256”,“type”:“JWT”}
- 第二部分:Payload(有效载荷),携带一些自定义信息、默认信息等。 例如:{“id”:“1”,“username”:“Tom”}
- 第三部分:Signature(签名),防止Token被篡改、确保安全性。将header、payload,并加入指定秘钥,通过指定签名算法计算而来。
使用(java):
- 引入依赖:
<dependency>
<groupId>io.jsonwebtoken</groupId>
<artifactId>jjwt</artifactId>
<version>0.9.1</version></dependency>
- 使用提供的方法Jwts链式编程进行加密
public void genJwt(){
Map<String,Object> claims = new HashMap<>();
claims.put(“id”,1);
claims.put(“username”,“Tom”);
String jwt = Jwts.builder()
.setClaims(claims) //自定义内容(载荷)
.signWith(SignatureAlgorithm.HS256, “Venous”) //签名算法 Venous是对应的密钥
.setExpiration(new Date(System.currentTimeMillis() + 12*3600*1000)) //有效期
.compact();
System.out.println(jwt);}
- 解密
public void parseJwt(){
Claims claims = Jwts.parser()
.setSigningKey(“itheima”) //指定签名秘钥
.parseClaimsJws(“之前加密的密文”) //解析令牌
.getBody(); // 获取到自定义的加密信息 即Payload(有效载荷)
System.out.println(claims);}
JWT校验时使用的签名秘钥,必须和生成JWT令牌时使用的秘钥是配套的。
如果JWT令牌解析校验时报错,则说明 JWT令牌被篡改 或 失效了,令牌非法。
使用(go)
- 添加JWT库
go get -u github.com/golang-jwt/jwt/v5
- 导入
import "github.com/golang-jwt/jwt/v5"
- 生成token
// 定义一个结构体,传递载核信息 type UserClaims struct { UserID int UserName string jwt.RegisteredClaims } // 定义一个密钥 const key = "Venous" // 设置jwt的载核信息 claim := UserClaims{ UserID: req.Id, UserName: req.Name, RegisteredClaims: jwt.RegisteredClaims{ Subject: req.Name, // Subject(主题) ExpiresAt: jwt.NewNumericDate(time.Now().Add(time.Minute * 10)), // 过期时间 }, } // 生成jwt令牌 token, err := jwt.NewWithClaims(jwt.SigningMethodHS256, claim).SignedString([]byte(key)) if err != nil { return nil, err }
- 校验
// 定义JWT的载荷(payload)部分
type UserClaims struct {
UserID uint
UserName string
jwt.RegisteredClaims // RegisteredClaims结构体包含了JWT标准中的注册声明,如Subject(主题)、ExpiresAt(过期时间)等。
}
// 对应的签名和token
key := "Venuse"
tokenStr := req.Token
//使用jwt.ParseWithClaims函数来解析JWT字符串。这个函数需要三个参数:
//token:要解析的JWT字符串。
//&UserClaims{}:一个指向UserClaims类型实例的指针,用于存放解析后的载荷信息。
//一个函数,用于提供JWT签名的密钥。
result, err := jwt.ParseWithClaims(tokenStr, &UserClaims{}, func(token *jwt.Token) (interface{}, error) {
return key, nil
})
// 进行验证
if err == nil && result.Valid { // result.Valid表示JWT是否有效(即签名是否正确)
claims, ok := result.Claims.(*UserClaims)
if ok {
fmt.Println("token里的信息", claims.UserName, claims.UserID)
res.Message = "token验证成功--->"
res.Name = claims.UserName
res.ID = int(claims.UserID)
} else {
res.Message = "token验证失败"
}
}
然后通过拦截器或者过滤器,进行验证