javaWeb的jwt令牌校验

JWT令牌校验(Interceptor+jwt)

全称JSON Web Token
官网https://jwt.io/
定义了一种简洁，自包含的格式，用于通信双方以json数据格式安全的传输信息，由于数字签名的存在，这些数据是可靠的。

jwt令牌组成

a.b.c

• a部分：Header(头),记录jwt令牌类型，签名算法等
• b部分：Payload(有效载荷)，携带一些自定义数据，默认信息等
• c部分：Signature(签名),防止Token被篡改，确保安全性。将header，payload,并加入指定密钥，通过指定签名算法计算出的数字签名。

Base64加密

是一种基于64个可打印字符(A-Z,a-z,0-9,_/)来表示二进制数据的编码方式。=号是补位符
ab部分的原始信息数据通过Base64加密后产生ab部分。

jwt的登陆认证

1. 登陆成功后生成jwt令牌
2. 后续每个请求，都要携带jwt令牌，系统在每次请求处理前先通过拦截器校验令牌（有两种校验jwt令牌的方法，一种通过Filter过滤器校验，一种通过Interceptor拦截器校验，这里我采用Interceptor校验），通过后再处理请求。

如何使用jwt令牌

jwt依赖配置

pom.xml文件中引入以下代码

<dependency>
      //版本自行选择
      <groupId>io.jsonwebtoken</groupId>
      <artifactId>jjwt</artifactId>
</dependency>

jwt令牌生成与解密功能封装成类

public class JwtUtil {
    /**
     * 生成jwt
     * 使用Hs256算法, 私匙使用固定秘钥
     *
     * @param secretKey jwt秘钥
     * @param ttlMillis jwt过期时间(毫秒)
     * @param claims    设置的信息
     * @return
     */
    public static String createJWT(String secretKey, long ttlMillis, Map<String, Object> claims) {
        // 指定签名的时候使用的签名算法，也就是header那部分
        SignatureAlgorithm signatureAlgorithm = SignatureAlgorithm.HS256;

        // 生成JWT的时间
        long expMillis = System.currentTimeMillis() + ttlMillis;
        Date exp = new Date(expMillis);

        // 设置jwt的body
        JwtBuilder builder = Jwts.builder()
                // 如果有私有声明，一定要先设置这个自己创建的私有的声明，这个是给builder的claim赋值，一旦写在标准的声明赋值之后，就是覆盖了那些标准的声明的
                .setClaims(claims)
                // 设置签名使用的签名算法和签名使用的秘钥
                .signWith(signatureAlgorithm, secretKey.getBytes(StandardCharsets.UTF_8))
                // 设置过期时间
                .setExpiration(exp);

        return builder.compact();
    }

    /**
     * Token解密
     *
     * @param secretKey jwt秘钥 此秘钥一定要保留好在服务端, 不能暴露出去, 否则sign就可以被伪造, 如果对接多个客户端建议改造成多个
     * @param token     加密后的token
     * @return
     */
    public static Claims parseJWT(String secretKey, String token) {
        // 得到DefaultJwtParser
        Claims claims = Jwts.parser()
                // 设置签名的秘钥
                .setSigningKey(secretKey.getBytes(StandardCharsets.UTF_8))
                // 设置需要解析的jwt
                .parseClaimsJws(token).getBody();
        return claims;
    }

}

jwt令牌生成

生成jwt令牌需要四个参数

• secretKey jwt秘钥
• ttlMillis jwt过期时间(毫秒)
• claims 设置的信息
• signatureAlgorithm 签名算法

JwtBuilder builder = Jwts.builder()
                .setClaims(claims)//设置自定义信息
                .signWith(signatureAlgorithm, secretKey.getBytes(StandardCharsets.UTF_8))//第一个参数为签名算法，第二个参数为自己制定的密钥，注意jwt令牌生成和解密的密钥要一致
                .setExpiration(System.currentTimeMillis() + ttlMillis);//设置过期时间，系统时间加上有效期

String jwt=builder.compact();//JwtBuilder调用compact()方法生成jwt令牌。

jwt令牌解密

解密需要两个参数

• secretKey jwt密钥
• jwt令牌

public static Claims parseJWT(String secretKey, String token) {
        // 得到DefaultJwtParser
        Claims claims = Jwts.parser()
                // 设置签名的秘钥,注意注意了，这里密钥一定不能变QAQ
                .setSigningKey(secretKey.getBytes(StandardCharsets.UTF_8))
                // 设置需要解析的jwt
                .parseClaimsJws(token).getBody();
        return claims;
    }

上述代码一切尽在不言中。
上述代码创建出JwtUtil工具类为在Interceptor拦截器中调用做准备工作。

Interceptor拦截器的使用

定义拦截器，实现HandlerInterceptor接口，并重写其所有方法。

public interface HandlerInterceptor {
    default boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {//目标方法进行前执行，注意，返回true拦截器才会放行，false不会放行。
        return true;
    }

    default void postHandle(HttpServletRequest request, HttpServletResponse response, Object handler, @Nullable ModelAndView modelAndView) throws Exception {//目标方法执行后执行
    }

    default void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler, @Nullable Exception ex) throws Exception {//视图渲染完毕后执行，最后执行。
    }
}

jwt令牌校验和生成需要在请求前处理，则只需实现preHander方法。
JwtProperties实体类的实现

@Component
@ConfigurationProperties(prefix = "sky.jwt")
@Data
public class JwtProperties {
    /**
     * 管理端员工生成jwt令牌相关配置
     */
    private String adminSecretKey;
    private long adminTtl;
    private String adminTokenName;
    /**
     * 用户端微信用户生成jwt令牌相关配置
     */
    private String userSecretKey;
    private long userTtl;
    private String userTokenName;
}

拦截器的定义

@Component
@Slf4j
public class JwtTokenUserInterceptor implements HandlerInterceptor {

    @Autowired
    private JwtProperties jwtProperties;

    /**
     * 校验jwt
     *
     * @param request
     * @param response
     * @param handler
     * @return
     * @throws Exception
     */
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        //判断当前拦截到的是Controller的方法还是其他资源
        if (!(handler instanceof HandlerMethod)) {
            //当前拦截到的不是动态方法，直接放行
            return true;
        }

        //1、从请求头中获取令牌
        String token = request.getHeader(jwtProperties.getUserTokenName());

        //2、校验令牌
        try {
            //log.info("jwt校验:{}", token);
            Claims claims = JwtUtil.parseJWT(jwtProperties.getUserSecretKey(), token);
            Long userId = Long.valueOf(claims.get(JwtClaimsConstant.USER_ID).toString());
            BaseContext.setCurrentId(userId);
            //log.info("当前用户id{}", userId);
            //3、通过，放行
            return true;
        } catch (Exception ex) {
            //4、不通过，响应401状态码
            response.setStatus(401);
            return false;
        }
    }
}

注册拦截器

@Configuration
@Slf4j
public class WebMvcConfiguration extends WebMvcConfigurationSupport {
    @Autowired
    private JwtTokenUserInterceptor jwtTokenUserInterceptor;
    /**
     * 注册自定义拦截器
     *
     * @param registry
     */
    protected void addInterceptors(InterceptorRegistry registry) {
        log.info("开始注册自定义拦截器...");
        registry.addInterceptor(jwtTokenUserInterceptor)
                .addPathPatterns("/user/**")
                .excludePathPatterns("/user/user/login")
                .excludePathPatterns("/user/shop/status");
    }
}

addInterceptor()方法写入拦截器类型，addPathPatterns()写入需要拦截的路径，excludePathPatterns()写入排除的路径，即/user/**下的/user/user/login和/user/shop/status除外，/user/**的其他路径都被拦截。

###使用jwt令牌校验时需要注意的点
技术方面其实没有特别需要注意的点，但是但是但是，不要把用户重要信息放在jwt令牌内，不要把用户重要信息放在jwt令牌内，不要把用户重要信息放在jwt令牌内，base64解码工具一解码就能知道了，除非自己加密了再放入！！！
如果你能耐心看完，那么非常感谢，以上是我对jwt令牌的学习心得，希望对你们有用。