JWT的使用

概述

JSON Web Token（JWT）是一种开放标准（RFC 7519），它定义了一种紧凑且自包含的方式，用于在各方之间作为JSON对象安全地传输信息。此信息可以验证和信任，因为它是经过数字签名的。JWT可以使用秘密（使用HMAC算法）或使用RSA或ECDSA的公钥/私钥对进行签名。

虽然 JWT 可以加密以在各方之间提供保密性，但我们将专注于签名令牌。签名的令牌可以验证其中包含的声明的完整性，而加密的令牌会向其他方隐藏这些声明。当使用公钥/私钥对对令牌进行签名时，签名还证明只有持有私钥的一方才是签署它的一方。

JWT实际上是一串字符串，由三部分组成，标题、有效载荷、签名。

以下是 JSON Web 令牌有用的一些场景：

• 授权：这是使用 JWT 最常见的场景。用户登录后，每个后续请求都将包含 JWT，从而允许用户访问该令牌允许的路由、服务和资源。单点登录是当今广泛使用 JWT 的一项功能，因为它的开销很小并且能够在不同的域中轻松使用。
• 信息交换：JSON Web 令牌是在各方之间安全传输信息的好方法。因为可以对 JWT 进行签名（例如，使用公钥/私钥对），所以您可以确定发件人就是他们所说的那个人。此外，由于使用标头和有效负载计算签名，您还可以验证内容没有被篡改。

标题（Header）

标头通常由两部分组成：令牌的类型，即 JWT，以及正在使用的签名算法，例如 HMAC SHA256 或 RSA。

例如：

{
"alg": "HS256",
"typ": "JWT"
}

然后，这个 JSON 被Base64Url编码以形成 JWT 的第一部分。

有效载荷（Payload）

令牌的第二部分是有效负载，其中包含声明。声明是关于实体（通常是用户）和附加数据的陈述。索赔分为三种类型：注册索赔、公开索赔和私人索赔。

• 注册声明：这些是一组预定义的声明，不是强制性的，但建议使用。如： iss（发行人）、 exp（到期时间）、 sub（主题）、 aud（受众）等，请注意，声明名称只有三个字符，只要 JWT 是紧凑的。
• 公共声明：这些可以由使用 JWT 的人随意定义。
• 私人声明：这些是为在同意使用它们的各方之间共享信息而创建的自定义声明

示例：

{
  "sub": "1234567890",
  "name": "John Doe",
  "admin": true
}

然后对有效负载进行Base64Url编码以形成 JSON Web 令牌的第二部分。

签名(Signture)

前面两部分都是使用Base64 进行编码的，即前端可以解开知道里面的信息。Signature需要使用编码后的 header 和 payload以及自己提供的一个密钥，然后使用header中指定的签名算法(HS256)进行签名。签名的作用是保证JWT没有被篡改过。

例如，如果您想使用 HMAC SHA256 算法，签名将通过以下方式创建：

HMACSHA256( base64UrlEncode(header) + "." + base64UrlEncode(payload), secret)

最后一步签名的过程，实际上是对头部以及负载内容进行签名，防止内容被窜改。

如果有人对头部以及负载的内容解码之后进行修改，再进行编码，最后加上之前的签名组合形成新的JWT的话，那么服务器端会判断出新的头部和负载形成的签名和JWT附带上的签名是不一样的。如果要对新的头部和负载进行签名，在不知道服务器加密时用的密钥的语得出来的签名也是不一样的。

JWT的使用

导入依赖

<dependency>
    <groupId>com.auth0</groupId>
    <artifactId>java-jwt</artifactId>
    <version>3.18.2</version>
</dependency>

创建Token

@Test
public void test01(){
    String token = JWT.create()
        .withExpiresAt(new Date(System.currentTimeMillis() + 1000 * 60 * 60))  //指定令牌的过期时间为1小时
        .withClaim("userID", 1)         //payload部分
        .withClaim("userName", "张三")
        .sign(Algorithm.HMAC256("ABCD"));//签名部分：使用HMAC256进行加密，秘钥是：ABCD
    System.out.println(token);
}

结果

eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJleHAiOjE2NDMzNjg5MDUsInVzZXJOYW1lIjoi5byg5LiJIiwidXNlcklEIjoxfQ.uHwyrN6Yw9ZHcZGv_sacxzTrkGE6Chx0y9kvGNdX8_o

验证Token

@Test
public void test02(){
    DecodedJWT verify = JWT.require(Algorithm.HMAC256("ABCD")).build()
        .verify("eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJleHAiOjE2NDMzNjg5MDUsInVzZXJOYW1lIjoi5byg5LiJIiwidXNlcklEIjoxfQ.uHwyrN6Yw9ZHcZGv_sacxzTrkGE6Chx0y9kvGNdX8_o");
    System.out.println(verify.getClaim("userID").asInt());
    System.out.println(verify.getClaim("userName").asString());
}

如果 DecodedJWT verify = JWT.require(Algorithm.HMAC256("ABCD")).build() .verify(token);这一行代码没有异常，则说明验证成功

相应异常如下：

SignatureVerificationException：签名不一致

TokenExpiredException：令牌过期

AlgorithmMismatchException：签名算法不匹配

InvalidClaimException：paload失效

结果

1
张三