JWT Json web token

JWT概念

JWT是JSON Web Token。
它包含三部分：头部header，载荷payload，签证signature

header

jwt的头部承载两部分信息：

声明类型，这里是jwt
声明加密的算法 通常直接使用 HMAC SHA256
完整的头部就像下面这样的JSON：

{
  'typ': 'JWT',
  'alg': 'HS256'
}

然后将头部进行base64加密（该加密是可以对称解密的),构成了第一部分
eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9

payload

载荷就是存放有效信息的地方。这些有效信息包含三个部分:标准中注册的声明、公共的声明、私有的声明

标准中注册的声明 (建议但不强制使用) ：
iss: jwt签发者
sub: jwt所面向的用户
aud: 接收jwt的一方
exp: jwt的过期时间，这个过期时间必须要大于签发时间
nbf: 定义在什么时间之前，该jwt都是不可用的.
iat: jwt的签发时间
jti: jwt的唯一身份标识，主要用来作为一次性token,从而回避重放攻击。

公共的声明 ：
公共的声明可以添加任何的信息，一般添加用户的相关信息或其他业务需要的必要信息.但不建议添加敏感信息，因为该部分在客户端可解密.

私有的声明 ：
私有声明是提供者和消费者所共同定义的声明，一般不建议存放敏感信息，因为base64是对称解密的，意味着该部分信息可以归类为明文信息。

示例：定义一个payload:

{
  "sub": "1234567890",
  "name": "John Doe",
  "admin": true
}

然后将其进行base64加密，得到Jwt的第二部分。
eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9

signature

jwt的第三部分是一个签证信息，这个签证信息由三部分组成：header (base64后的)、payload (base64后的)、secret
这个部分需要base64加密后的header和base64加密后的payload使用.连接组成的字符串，然后通过header中声明的加密方式进行加盐secret组合加密，然后就构成了jwt的第三部分。

var encodedString = base64UrlEncode(header) + '.' + base64UrlEncode(payload);
var signature = HMACSHA256(encodedString, 'secret'); // TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ

将这三部分用.连接成一个完整的字符串,构成了最终的jwt:

前端

一般在请求头中加入Authorization，并加上Bearer标注

headers: {
    'Authorization': 'Bearer ' + token
  }

Java发token示例

依赖

<dependency>
  <groupId>com.auth0</groupId>
  <artifactId>java-jwt</artifactId>
  <version>3.12.0</version>
</dependency>

DecodedJWT源码：

package com.auth0.jwt.interfaces;

public interface DecodedJWT extends Payload, Header {
    String getToken();

    String getHeader();

    String getPayload();

    String getSignature();
}

用法：

作为JWT解密之后的对象，例如：

public class GenerateJWT {
	//加密
    public static String generateJWT(String id,String salt){
        Calendar calendar=new GregorianCalendar();
        calendar.add(Calendar.DATE,1);

        JWTCreator.Builder builder = JWT.create();
        builder.withClaim("id", id);

        return builder.withExpiresAt(calendar.getTime()).sign(Algorithm.HMAC256(salt));
    }
    
	//解密，解密5种异常，参考下文的参考网站
    public static void decodeJWT(String token,String salt){
        JWTVerifier verifier= JWT.require(Algorithm.HMAC256(salt)).build();
        DecodedJWT decodedJWT=verifier.verify(token);
        System.out.println(decodedJWT.getClaim("id").asString());
    }
}

测试代码：

    @Test
    void testJWT(){
        String jwt = GenerateJWT.generateJWT("daihan", "sunyichen");
        GenerateJWT.decodeJWT(jwt,"sunyichen");
    }

参考

JWT