使用JWT Token进行RestFul API权限验证

最新推荐文章于 2024-08-12 15:55:52 发布

a1203177935

最新推荐文章于 2024-08-12 15:55:52 发布

阅读量6.2k

点赞数

分类专栏： SpringMVC

本文链接：https://blog.csdn.net/a1203177935/article/details/80875562

版权

本文探讨了在Restful API中如何避免使用Session，转而采用JWT Token进行权限验证。阐述了使用Token的原因，并提供了一个Java Web示例，展示了在SpringMVC框架下如何生成和验证JWT Token，以及如何通过自定义拦截器实现API权限控制。

摘要由CSDN通过智能技术生成

问题

后端提供的RestFul API一般都需要进行权限验证，而Web框架一般采用Cookies+Session来进行认证。但RestFul API属于无状态协议，而在后台使用Session的话，由于Session本身需要服务端进行维持，这样就破坏了Rest的无状态性。

解决方案

抛弃Cookie+Session的认证架构，选用Token作为认证手段。在登录验证时，后台收集账号信息、IP、访问时间等信息，生成对应Token，通过cookies传回客户端。之后的每次请求API，都需要带上Token；后台对Token进行解码与鉴权操作。这样就可以在服务端本身不维护登录状态的情况下，进行权限认证，不会破坏RestFul的特性。

Java Web 示例

由于Web后台框架是SpringMVC，这里选择使用JWT作为Token生成工具。

编写一个Token生成工具类，完成两个方法：Token生成以及Token验证。

package com.example.utils;

import com.auth0.jwt.JWT;
import com.auth0.jwt.JWTVerifier;
import com.auth0.jwt.algorithms.Algorithm;
import com.auth0.jwt.interfaces.Claim;
import com.auth0.jwt.interfaces.DecodedJWT;

import java.util.Calendar;
import java.util.Date;
import java.util.HashMap;
import java.util.Map;

/**
 * 用于JWT Token的生成与解码验证
 */
public class JwtTokenUtils {
   

    // 加密用的私钥
    private static String TOKEN_KEY = "keys";

    /**
     * 生成返回给客户端的token
     * @param username 登录用户名
     * @