JWT学习笔记

JWT

什么是 JWT？

JWT 就是 JSON Web Token 也就是 JSON 格式的web应用的令牌

JWT能做什么？

1. 实现单点登录
2. 在不同系统中传递非敏感信息

JWT认证流程

JWT的结构

JWT由header、payload、singnature三部分组成中间用”.“分割如下：

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJkYXRhIjpbeyJ0b29sdHQiOiJodHRwczovL3Rvb2x0dC5jb20ifV0sImlhdCI6MTY2NjU4ODMwMiwiZXhwIjoxNjY2MTA4Nzk5LCJhdWQiOiIiLCJpc3MiOiIiLCJzdWIiOiIifQ.il0wAriJyN__m2L7RCY92yXQR95iLsylTgRiCYzq_lM

1. 令牌头（Header）

   • 第一部分是令牌头，其中包含，使用的什么签名算法，令牌类型是什么，使用Base64进行编码。

   {
       "alg": "Hs256", 
       "typ": "JWT" 
   }
   

2. 有效负载（PayLoad）*

   • 第二部分是有效负载，其中包含声明的数据，使用Base64进行编码。
   • 注意不要放敏感信息，如账号密码

   {
       "name": "zhangshan",
       "admin" true
   }
   

3. 签名（Signature）

Signature组成是用编码后的Header和Payload以及我们提供的秘钥，然后使用Header中指定的签名算法（HS256）进行签名，为了保证JWT没有被篡改过。

 HMACSHA256(base64UrlEncode(header)+"."+base64UrlEncode(payload),secret)

Java中使用JWT

1. 引入依赖

<dependency>
    <groupId>com.auth0</groupId>
    <artifactId>java-jwt</artifactId>
    <version>3.10.3</version>
</dependency>

2. 生成JWT的token

public class JWTTest {
    @Test
    public void testGenerateToken(){
    
        // 指定token过期时间为60秒
        Calendar calendar = Calendar.getInstance();
        calendar.add(Calendar.SECOND, 60);

        String token = JWT.create()
                .withHeader(new HashMap<>())  // Header
                .withClaim("userId", 21)  // Payload
                .withClaim("userName", "zhangsan")
                .withExpiresAt(calendar.getTime())  // 过期时间
                .sign(Algorithm.HMAC256("秘钥"));  // 签名用的secret

        System.out.println(token);
    }
}

3. 解析签名

@Test
public void resolveTokenTest(){
    // 创建解析对象，使用的算法和secret要与创建token时保持一致
    JWTVerifier jwtVerifier = JWT.require(Algorithm.HMAC256("秘钥")).build();
    // 解析指定的token
    DecodedJWT decodedJWT = jwtVerifier.verify("eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJkYXRhIjpbeyJ0b29sdHQiOiJodHRwczovL3Rvb2x0dC5jb20ifV0sImlhdCI6MTY2NjU4ODMwMiwiZXhwIjoxNjY2MTA4Nzk5LCJhdWQiOiIiLCJpc3MiOiIiLCJzdWIiOiIifQ.il0wAriJyN__m2L7RCY92yXQR95iLsylTgRiCYzq_lM");
    // 获取解析后的token中的payload信息
    Claim userId = decodedJWT.getClaim("userId");
    Claim userName = decodedJWT.getClaim("userName");
    System.out.println(userId.asInt());
    System.out.println(userName.asString());
    // 得到超时时间
    System.out.println(decodedJWT.getExpiresAt());
}

封装JWT工具类

public class JWTUtils {
    // 签名密钥
    private static final String SECRET = "t@o@k@e@n!123";

    /**
     * 生成 token
     * @param payload 携带的信息
     * @return token字符串
     */
    public static String getToken(Map<String,String> payload){
        // 指定token过期时间为7天 
        Calendar calendar = Calendar.getInstance();
        calendar.add(Calendar. DATE, 7);

        //创建jwtbuilder
        JWTCreator.Builder builder = JWT.create();
        // 构建payload
        payload.forEach((k,v) -> builder.withClaim(k,v));
        // 指定过期时间和签名算法
        String token = builder.withExpiresAt(calendar.getTime()).sign(Algorithm.HMAC256(SECRET));
        return token;
    }


    /**
     * 验证 token
     * @param token token字符串
     * @return token
     */
    public static DecodedJWT decode(String token){
        JWTVerifier jwtVerifier = JWT.require(Algorithm.HMAC256(SECRET)).build();
        DecodedJWT decodedJWT = jwtVerifier.verify(token);
        return decodedJWT;
    }
}

使用拦截器验证token

1. 在Interceptor包下创建

public class JWTInterceptor implements HandlerInterceptor {
    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        String JWT = request.getHeader("Authorization");
        try {
            // 1.校验JWT字符串
            DecodedJWT decodedJWT = JWTUtils.decode(JWT);
            // 2.取出JWT字符串载荷中的随机token，从Redis中获取用户信息
            return true;
        }catch (SignatureVerificationException e){
            System.out.println("无效签名");
            e.printStackTrace();
        }catch (TokenExpiredException e){
            System.out.println("token已经过期");
            e.printStackTrace();
        }catch (AlgorithmMismatchException e){
            System.out.println("算法不一致");
            e.printStackTrace();
        }catch (Exception e){
            System.out.println("token无效");
            e.printStackTrace();
        }
        return false;
    }
}

2. 在config包下创建

@Configuration//声明为配置类
public class WebMvcConfig implements WebMvcConfigurer {
    @Override
    public void addInterceptors(InterceptorRegistry registry) {
        registry.addInterceptor(new JWTInterceptor())
                .addPathPatterns("/**")//需要拦截的请求
                .excludePathPatterns("/user");//不拦截的请求
    }
}