JWT令牌

最新推荐文章于 2024-03-10 22:06:45 发布
最新推荐文章于 2024-03-10 22:06:45 发布
阅读量3.2k 收藏 36
点赞数 11
分类专栏： spring-boot 文章标签： java spring
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_57752520/article/details/125785908
版权

JWT

文章目录

1、什么是JWT

概述

  • jsonwebtoken是一个开放标准，它定义了一种紧凑都、自包含的方式，用于在各方之间以JSON对象安全的传输信息。此信息可以验证和信任，因为它是数字签名的，jwt可以使用秘密或使用RSA或ECDSA的公钥/私钥对进行签名。
  • JWT简称JSON、Web、Token，也就是通过JSON形式作为web与应用中的令牌，用于在各方之间安全地将信息作为JSON对象传输。在数据传输过程中还可以完成数据加密、签名等相关处理。
  • 官网：http://jwt.io/introduction/

JWT的作用

  • 授权： 用户的授权，一旦用户登录后获得了token，后续一些需要用户权限的请求就不会拒绝请求。
  • 信息交互： JSON Web Token是在各方之间安全传输信息的好方法。因为可以对JWT进行签名（例如：使用公钥/私钥对），所以可以确保发送方信息，由于签名是使用标头和有效负载计算的，因此可以验证内容是否遭到篡改。保证信息的完整性。

2、基于传统的session认证

认证方式

  • http协议本身是一种无状态的协议，而这就意味着如果用户向我们的应用提供了用户名和密码来进行用户认证，下一次请求时，用户还要再一次进行用户认证才行。在第一次请求后服务器会创建一个会话即session，为了下一次能够识别到是哪个用户发出的请求，只能在服务器存储一份用户登录信息，这份登录信息会在响应时传给浏览器，即为一个sessionid存储在cookie中，这就是传统的基于session认证。

认证流程

图示：

在这里插入图片描述

暴露的问题：

  1. 每个用户认证一次就要记录一个sessionid，都保存在内存中，服务器的开销很大，且断电就丢失。
  2. session只存储在本服务器的内存中，在分布式应用场景中是非常不方便的，分布式通常是几个服务之间的调用，使用session认证就相应的限制了负载均衡的能力。
  3. 因为是基于cookie来进行用户的识别，cookie如果被截获，服务器就很容易受到跨站请求伪造的攻击。
  4. 前后端分离系统中更加的痛苦，sessionid1还只是一个特征值，表达的信息不够丰富。在后端应用是多节点部署场景中，就要实现session的共享机制，不太方便。也不方便集群应用。

3、基于Jwt认证

认证流程

图示：

在这里插入图片描述

  • 用户进行认证，向服务器发送请求，服务器响应请求并进行认证，认证通过后生成JWT即token，响应给前端；后面的每次请求都携带JWT，服务器拦截请求验证token的有效性，正确的token执行业务逻辑响应数据，错误的token返回错误信息给前端，前端展示相应的的信息。

Jwt的优势

  • 简洁： 数据量小，传输熟读快。
  • 自包含： 负载中包含了所有用户所需要的信息，避免多次查询数据库。
  • Token是以JSON加密形式保存在客户端的，所以Jwt是跨语言的。
  • 特别适用于分布式微服务。

4、JWT的结构

本质为一个字符串

token ====> header.payload.singnature

令牌的组成： 标头（header） 、有效负荷（payload） 、签名（singnature）

JWT通常所示：xxxxxx.yyyyyy.zzzzzz

  • header: 标头通常由两部分组成即令牌的类型（JWT）和使用的算法类型。【通常使用Base64编码组成JWT结构的第一部分】

    {
  "alg":"HS256",
  "typ":"JWT"
}

  • payload: 有效负载，存储用户的相关的信息和其他数据的声明。【通常使用Base64编码组成JWT结构的第二部分】

    {
  "username":"qiumin",
  "password":"123456"
}

  • singnature: 签名，与前面两个部分生成JWT，该签名不能让其他人知道，是保证token不被串改，保证信息的安全。【通常使用Base64编码组成JWT结构的第二部分】

    header+"."+payload+"."+singnature ---> 组成唯一的token

5、使用JWT

springboot

  • 导入JWT的依赖
<dependency>
  <groupId>com.auth0</groupId>
  <artifactId>java-jwt</artifactId>
  <version>3.10.3</version>
</dependency>
  • 生成token
@Test
    public void contentLoad(){
        HashMap<String,Object> map = new HashMap<>();
        Calendar instance = Calendar.getInstance();
        instance.add(Calendar.SECOND,180);
        String token = JWT.create()
                .withHeader(map)  //header
                .withClaim("username", "qiumin") //payload
                .withClaim("password", "123456") //payload
                .withExpiresAt(instance.getTime())
                .sign(Algorithm.HMAC256("!FhSD!#VDZF%#FDBD"));//签名

        System.out.println(token);
    }

结果：

eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJwYXNzd29yZCI6IjEyMzQ1NiIsImV4cCI6MTY1NzQzODUxNSwidXNlcm5hbWUiOiJxaXVtaW4ifQ.1TIUuWP1d1-vHc71oTw2pH5LAxtCehiiRnaK3tIZob8
  • 验证解析token
 @Test
    public void Auth(){
        JWTVerifier verifier = JWT.require(Algorithm.HMAC256("!FhSD!#VDZF%#FDBD")).build();
        DecodedJWT verify = verifier.verify("eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJwYXNzd29yZCI6IjEyMzQ1NiIsImV4cCI6MTY1NzQzODUxNSwidXNlcm5hbWUiOiJxaXVtaW4ifQ.1TIUuWP1d1-vHc71oTw2pH5LAxtCehiiRnaK3tIZob8");
        System.out.println(verify.getHeader());
        System.out.println("payload: "+verify.getClaim("username").asString());
        System.out.println("payload: "+verify.getClaim("password").asString());
        System.out.println("过期时间: "+verify.getExpiresAt());
    }

在这里插入图片描述

常见的JWT异常：

  1. SignatureVerificationException: 无效签名。
  2. TokenExpiredException: token过期。
  3. AlgorithmMismatchException: token算法不一致。
  4. InvalidClaimException: 失效payload异常。

封装成工具类JwtUtils

package com.qiumin.utils;


import com.auth0.jwt.JWT;
import com.auth0.jwt.JWTCreator;
import com.auth0.jwt.JWTVerifier;
import com.auth0.jwt.algorithms.Algorithm;
import com.auth0.jwt.interfaces.DecodedJWT;

import java.util.Calendar;
import java.util.Map;

/**
 * @author qiumin
 * @classname JWTUtils
 * @Description love code
 * @date 2022-07-10 15:33
 */

public class JwtUtils {

    private static final String SING = "!FhSD!#VhDZF%#FDBD";

    /**
     * 获得Token
     * @param map1 header
     * @param map2 payload
     * */
    public static String getToken(Map<String,Object> map1, Map<String,String> map2){
        Calendar instance = Calendar.getInstance();
        instance.add(Calendar.SECOND,180); //过期时间

        JWTCreator.Builder builder = JWT.create();
        builder.withHeader(map1); //header

        map2.forEach((k,v)->{builder.withClaim(k,v);}); //payload
        builder.withExpiresAt(instance.getTime()); //过期时间
        String token = builder.sign(Algorithm.HMAC256(SING));//签名
        return token;
    }

    /**
     * 验证token
     * @param token 令牌
     * */
    public static void verify(String token){
        JWTVerifier build = JWT.require(Algorithm.HMAC256(SING)).build();
        build.verify(token);
    }

    /**
     * 获取token中的信息
     * @param token 令牌
     * */
    public static DecodedJWT analysis(String token){
        return JWT.require(Algorithm.HMAC256(SING)).build().verify(token);
    }

}

6、拦截器配置验证token

拦截器

创建拦截器的类，配置WebMvcConfigurer，将自己的自定义拦截器装配到容器中

package com.qiumin.interceptor;

import com.auth0.jwt.exceptions.AlgorithmMismatchException;
import com.auth0.jwt.exceptions.SignatureVerificationException;
import com.auth0.jwt.exceptions.TokenExpiredException;
import com.fasterxml.jackson.databind.ObjectMapper;
import com.qiumin.utils.JwtUtils;
import org.springframework.web.servlet.HandlerInterceptor;
import org.springframework.web.servlet.ModelAndView;

import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.util.HashMap;

/**
 * JwtInterceptor拦截器类
 *
 * @author qiumin
 * @classname JwtInterceptor
 * @Description love code
 * @date 2022-07-14 13:14
 */

public class JwtInterceptor implements HandlerInterceptor {

    /**
     * 拦截器
     * @param request
     * @param response
     * @param handler
     * @return
     * @throws Exception
     */
    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        String token = request.getHeader("token");
        HashMap<String, Object> map = new HashMap<>();
        JwtUtils jwtUtils = new JwtUtils();
        try {
            jwtUtils.verify(token);
            return true;
        }catch (SignatureVerificationException e){
            e.printStackTrace();
            map.put("msg","无效签名！");
        }catch (TokenExpiredException e){
            e.printStackTrace();
            map.put("msg","token过期！");
        }catch (AlgorithmMismatchException e){
            e.printStackTrace();
            map.put("msg","token算法不一致！");
        }catch (Exception e){
            e.printStackTrace();
            map.put("msg","token无效！");
        }
        map.put("state",false);
        response.setContentType("application/json;charset=UTF-8");
      //响应给前端
        response.getWriter().println(new ObjectMapper().writeValueAsString(map));
      return false;
    }

    @Override
    public void postHandle(HttpServletRequest request, HttpServletResponse response, Object handler, ModelAndView modelAndView) throws Exception {
        HandlerInterceptor.super.postHandle(request, response, handler, modelAndView);
    }

    @Override
    public void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler, Exception ex) throws Exception {
        HandlerInterceptor.super.afterCompletion(request, response, handler, ex);
    }
}

配置拦截器

package com.qiumin.config;

import com.qiumin.interceptor.JwtInterceptor;
import org.springframework.context.annotation.Configuration;
import org.springframework.web.servlet.config.annotation.InterceptorRegistry;
import org.springframework.web.servlet.config.annotation.WebMvcConfigurer;

/**
 * @author qiumin
 * @classname InterceptorConfig
 * @Description love code
 * @date 2022-07-14 13:37
 */

@Configuration
public class InterceptorConfig implements WebMvcConfigurer {

    @Override
    public void addInterceptors(InterceptorRegistry registry) {
        registry.addInterceptor(new JwtInterceptor())
                .addPathPatterns("/user/test2")  //拦截的路径请求
                .excludePathPatterns("/user/login");  //放行的请求路径
    }
}

qiumin

plements WebMvcConfigurer {

@Override
public void addInterceptors(InterceptorRegistry registry) {
    registry.addInterceptor(new JwtInterceptor())
            .addPathPatterns("/user/test2")  //拦截的路径请求
            .excludePathPatterns("/user/login");  //放行的请求路径
}

}




**qiumin**
Qiumin~
关注
  • 11
    点赞
  • 踩
  • 36
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
专栏目录
JWT
P_YUX的博客
09-08 534
1. JWT是什么 JSON Web Token (JWT)，它是目前最流行的跨域身份验证解决方案 2. 为什么使用JWT JWT的精髓在于：“去中心化”，数据是保存在客户端的。 3. JWT的工作原理 是在服务器身份验证之后，将生成一个JSON对象并将其发送回用户，示例如下： {“UserName”: “Chongchong”,“Role”: “Admin”,“Expire”: “20...
jwthelper：JWT令牌生成器
02-24
JWT令牌生成器 生成私钥（jwt.salt）和jwt令牌的助手 该泊坞窗映像有助于快速创建私钥和JWT令牌。 可用版本 您可以通过“ 页面查看所有可从Docker Hub提取的图像。 以“更改类型”字词开头的Docker标记名称（例如...
jwt令牌
姬凝霜
08-02 293
一、简介 JSON Web token简称JWT， 是用于对应用程序上的用户进行身份验证的标记。也就是说, 使用 JWTS 的应用程序不再需要保存有关其用户的 cookie 或其他session数据。此特性便于可伸缩性, 同时保证应用程序的安全。 在身份验证过程中, 当用户使用其凭据成功登录时, 将返回 JSON Web token, 并且必须在本地保存 (通常在本地存储中)。 每当用户要访问受保护的路由或资源 (端点) 时, 用户代理(user agent)必须连同请求一起发送 JWT, 通常在授权标头中
三、JWT（JSON Web Tokens）令牌（token）
HiDaJing
03-18 3723
一、什么是JWT 根据维基百科定义，JWT（读作 [/dʒɒt/]），即JSON Web Tokens，是一种基于JSON的、用于在网络上声明某种主张的令牌（token）。JWT通常由三部分组成: 头信息（header）, 消息体（payload）和签名（signature）。它是一种用于双方之间传递安全信息的表述性声明规范。JWT作为一个开放的标准（RFC 7519），定义了一种简洁的、自包含的方法，从而使通信双方实现以JSON对象的形式安全的传递信息。 二、在appsettings.json中配置j
JWT令牌技术
不能再留遗憾了的博客
03-10 1147
JWT令牌技术实现用户登录信息的验证
jwt-decode, 解码JWT令牌；适用于浏览器应用程序.zip
10-10
jwt-decode, 解码JWT令牌；适用于浏览器应用程序 jwt解码是一个小型浏览器库，可以帮助解码Base64Url编码的JWTs标记。注意：这个库没有验证令牌，任何格式良好的JWT都可以解码。 应该使用 express JWT 。koa JWT 。 Owin承载JWT插件等方式验证服务器端
SpringSecurity-Oauth2 之JWT令牌详解
qq_42861526的博客
08-06 3450
这两个时机的执行都是依靠JwtAccessTokenConverter来完成的注意：上面说的只是组件，JWT暴露给SpringSecurity的服务是tokenService，SpringSecurity也是通过tokenService来完成token的生成、解析以及存储的 （二) 组件之间的依赖关系 JWT暴露给tokenService使用的类是tokenStore，而tokenStore又依赖于accessTokenConvert和authenticationConvert完成token的生成和解析
JWT令牌的介绍
快乐学习
08-22 2638
在以前用cookie认证时候，会把状态信息什么的储存在服务器里面，随着用户越来越多，这是token验证的一种令牌。叫身份验证令牌。在前后端分离的架构中常用。Cookie会造成服务器的压力。那么jwt就出来了，你什么时候来，我什么时候给你颁发一个认证授权访问的令牌就好，不会储存在服务器里面。啪，给你盖章通过认证了，你可以带着这个令牌请求去访问我们服务器的资源了。jwt令牌是无状态的，随时访问随时给令牌认证，一次性的，所以单点登录很适合。不会给服务器造成压力。
JWT介绍及JWT令牌结构详解
学亮编程手记
08-03 770
是一个开放的行业标准（RFC 7519），它定义了一种简介的、自包含的协议格式，用于在通信双方传递json对象，传递的信息经过数字签名可以被验证和信任。JWT可以使用HMAC算法或使用RSA的公钥/私钥对来签名，防止被篡改。官网：1、jwt基于json，非常方便解析。2、可以在令牌中自定义丰富的内容，易扩展。3、通过非对称加密算法及数字签名技术，JWT防止篡改，安全性高。4、资源服务使用JWT可不依赖认证服务即可完成授权。１、JWT令牌较长，占存储空间比较大。
JWT - 令牌认证（认证流程和原理、Jwt 工具类、搭配 Redis 使用）
CYK_byte的博客
10-13 6171
1. 首先前端将用户名和密码发送给后端，后端对用户名和密码校验成功后，会将用户 id 和其他信息作为 payload ，然后将其分别进行 Base64 编码，拼接，最后再签名，形成一个 JWT（Token）. 形成的 JWT 就形同 xxx.yyy.zzz 这种结构的字符串.http 协议是一种无状态的协议，也就意味着当用户第一次通过用户名和密码登录成功以后，下一次再请求的时候，用户还需要再进行登录才行，因为根据 http 协议，我们不能知道是哪个用户发出的请求.
.NET Core 生成JWT令牌源码
最新发布
04-27
单点登录（SSO）：用户在登录一个应用程序后，可以通过JWT令牌在其他应用程序中进行身份验证，实现单点登录的效果。 在.NET Core中，可以使用Microsoft.IdentityModel.Tokens库来处理JWT。该库提供了一些类和方法...
jwt-decode:解码JWT令牌； 对浏览器应用程序有用
05-10
jwt-decode是一个小型浏览器库，有助于解码通过Base64Url编码的JWT令牌。 重要信息：该库不会验证令牌，任何格式正确的JWT都可以解码。 您应该使用 ， ， 等在服务器端逻辑中验证令牌。 警告：从版本2升级到版本3 ，...
网关与Jwt令牌.doc
10-16
这就意味着基于token认证机制的应用不需要去考虑用户在哪一台服务器登录了，这就为应用的扩展提供了便利。 流程上是这样的： ...• 服务器进行验证用户的信息 • 服务器通过验证发送给用户一个token ...
JWT令牌详细解读
。。。。
07-05 2988
什么是JWT令牌 JWT是JSON Web Token的缩写，即JSON Web令牌，是一种自包含令牌。 JWT的使用场景： 一种情况是webapi，类似之前的阿里云播放凭证的功能 另一种情况是多web服务器下实现无状态分布式身份验证 JWT官网有一张图描述了JWT的认证过程 官网 地址 : https://jwt.io/ JWT的作用： JWT 最重要的作用就是对 token信息的防伪作用 JWT的原理： 一个JWT由三个部分组成：JWT头、有效载荷、签名哈希 最后由这三者组
jwt身份令牌数据处理 前后端分离式开发
Bugxiu_fu的博客
10-15 2033
jwt入门 jwt的理解 和基本使用控制用户登陆后台与前台分离部分实例
jwt（token令牌管理机制）
weixin_52361952的博客
08-02 359
jwt（token令牌管理机制）
JWT令牌技术快速入门
2301_79024228的博客
07-12 1629
JWT的组成： （JWT令牌由三个部分组成，三个部分之间使用英文的点来分割） - 第一部分：Header(头）， 记录令牌类型、签名算法等。 例如：{"alg":"HS256","type":"JWT"} - 第二部分：Payload(有效载荷），携带一些自定义信息、默认信息等。 例如：{"id":"1","username":"Tom"} - 第三部分：Signature(签名），防止Token被篡改、确保安全性。将header、payload，并加入指定秘钥，通过指定签名算法计算而来。
OAuth和jwt令牌
04-24
OAuth（开放授权）是一种用于授权访问第三方应用程序的放标准。它允许用户通过授权服务器授权第三方应用程序访问其受保护的资源，而无需将其凭据直接提供给第三方应用程序。OAuth的工作流程通常涉及三个主要角色：资源所有者（用户）、客户端应用程序（第三方应用程序）和授权服务器。 JWT（JSON Web Token）是一种开放标准（RFC 7519），用于在各方之间安全地传输信息作为JSON对象。JWT通常用作身份验证和授权的令牌。它由三个部分组成：头部、载荷和签名。头部包含描述令牌类型和签名算法的元数据，载荷包含有关主题（用户）和其他声明的信息，签名用于验证令牌的完整性。 OAuth和JWT令牌在身份验证和授权方面有所不同。OAuth主要用于授权访问第三方应用程序，而JWT令牌则用于在各方之间传输信息并进行身份验证。OAuth通过授权服务器颁发访问令牌，而JWT令牌则是由发行者签名并可被验证的令牌。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值