使用JWT实现Token认证

为什么使用JWT

随着技术的发展，分布式web应用的普及，通过session管理用户状态成本越来越高，因此慢慢发展成为token的方式做登录身份校验，然后通过token去redis中的缓存中获取用户信息，随着之后JWT的出现，校验方式更加简单便捷化，无需通过redis缓存，而是直接根据token取出保存的用户信息，以及对token可用性校验，单点登录更为简单，这里还有一个在线的JWT生成器

什么时候应该用JSON Web Tokens

下列场景中使用JSON Web Token是很有用的：

• Authorization（授权）：这是使用JWT的最常见场景。一旦用户登录，后续每个请求都将包含JWT，允许用户访问该令牌允许的路由、服务和资源。单点登录是现在广泛使用的JWT的一个特性，因为它的开销很小，并且可以轻松地跨越使用。
• Information Exchange（信息交换）：对于安全的在各方进程之间传输信息而言，JSON Web Token 无疑是一种很好的方式。因为Jwts可以被签名，例如用公钥/私钥对，可以确定发送人。另外，由于签名是使用头和有效负载计算的，所以可以押证内容有没有被篡改。

Json Web Token 的结构是什么样的

JSON Web Token 由三部分组成，它们之间用圆点（.）连接。这三部分是：

• Header
• Payload
• Signature

因此，一个典型的JWT看起来是这个样子的：
Header.Payload.Signature

接下来，具体看一下每一个部分：

Header

header典型的由两部分组成：token类型（JWT）和算法名称（HMAC SHA256或者RSA等等）。
例如：

{
	"alg": "HS256",
	"typ": "JWT"
}

然后，用Base64对这个JOSN编码就得到JWT的第一个部分。

Payload

Jwt的第二个部分是payload，它包含声明（要求）。声明是关于实体（通常是指用户）和其他数据的声明。声明有三种类型：registerd，public和private。

• Registered claims：这里有一组预定义的声明，它们不是强制的，但是推荐给这些声明赋上值。比如：iss(issuer),exp(expiration time),sub(subject),aud(audience)等。
• Public claims：可以随意定义。
• Private claims：用于在同意使用它们的各方之间共享信息，并且不是注册的或公开的声明。

下面是一个例子：

{
	"sub": "UserId"
	"name": "John Doe"
	"admin": true
}

对payload进行Base64编码就得到JWT的第二个部分
注意：不要再JWT的payload或header中放置敏感信息，除非它们是加密的。

Signature

为了得到签名部分，你必须有编码过的header、payload、一个秘钥，签名算法是header中指定的那个，然对它们签名即可。
例如：HMACSSHA256(base64UrlEncode(header) + “.” + base64UrlEncode(payload), secret)
签名是用于验证消息在传递过程中有没有被更改，并且对于私用私钥签名的token，它还可以验证JWT的发送方是否为他所称的发送方。
看一张官网的图就明白了：

JSON Web Tokends是如何工作的

1. 应用（或客户端）想授权服务器请求授权。例如，如果使用授权码流程的话，就是/oauth/authorize
2. 当授权被许可以后，授权服务器返回一个access token 给应用
3. 应用使用access token 访问受保护的资源（比如：API）

使用JWT核心代码：
maven依赖：

<!-- 生成JWT令牌的工具类 -->
<dependency>
  <groupId>io.jsonwebtoken</groupId>
  <artifactId>jjwt</artifactId>
</dependency>

JWT工具类：用于生成Token，和Token验证

@Component
@Data
public class JwtTokenManager {
    /**
     * Token有效时长
     */
    private long tokenExpire = 24 * 60 * 60 * 1000;

    /**
     * 编码秘钥(Token私钥）
     */
    private String tokenSignKey = "123455";


    /**
     * 根据用户名生成Token
     *
     * @param jti   生成的jwt令牌的唯一标识，防止JWT被意外重放（防止意外生成重复的jwt令牌）;
     * @param username 用户名
     */
    private String generaToken(String jti,String username){
        Map<String, Object> header = new HashMap<>();
        header.put("type", "jwt");
        header.put("alg", SignatureAlgorithm.HS512.getValue());
        return Jwts.builder().setHeader(header)
                .setSubject(username) // 设置主题
                .setId(jti) // JWT唯一标识，防止JWT被意外重放（防止意外生成重复的jwt令牌）
                .setIssuer("yyl") // 设置签发人
                .setIssuedAt(new Date()) // 设置签发时间
                .setExpiration(new Date(System.currentTimeMillis() + tokenExpire)) // 设置Token过期时间
                .setAudience("All") // 设置Jwt的受众人
                .signWith(SignatureAlgorithm.HS512, this.tokenSignKey) // 使用（HS512算法+秘钥）对JWT进行签名
                .compressWith(CompressionCodecs.GZIP) // 使用GZIP算法对JWT字符串进行签名
                .compact();
    }


    /**
     * 根据token字符串得到用户信息
     * @param token jwtToken
     * @return 用户信息
     */
    public String getUserInfoFromToken(String token) {
        return this.getClaims(token).getSubject();
    }
    /**
     * 根据token字符串得到Claims
     * @param jwtToken jwtToken
     * @return Claims对象，包含了JWT中存储的所有信息
     */
    public Claims getClaims(String jwtToken) {
        // JwtParser jwtParser = Jwts.parser().setSigningKey(this.tokenSignKey);
        JwtParser jwtParser = Jwts.parser().setSigningKey(this.generalSecretKey());
        // Jws是Jwt的子接口，比Jwt多了一个getSignature方法
        Jws<Claims> claimsJws = jwtParser.parseClaimsJws(jwtToken);
        System.out.println("claimsJws = " + claimsJws);
        // 是Jws的父类，jws是jwt规范的一种实现
        Jwt jwt = jwtParser.parse(jwtToken);
        System.out.println("jwt = " + jwt);
        return claimsJws.getBody();
    }

    /**
     * 生成秘钥(基于加密算法生成一个秘钥）
     *
     * @return 秘钥对象
     */
    public Key generalSecretKey(){
        byte[] encodeSecretKey = Base64.getEncoder().encode(this.tokenSignKey.getBytes(StandardCharsets.UTF_8));
        SecretKeySpec secretKeySpec = new SecretKeySpec(encodeSecretKey, "AES");
        System.out.println("secretKey:" + new String(secretKeySpec.getEncoded()));
        return secretKeySpec;
    }



    public static void main(String[] args) {
        JwtTokenManager jwtTokenManager = new JwtTokenManager();
        String token = jwtTokenManager.generaToken("01", "subject");
        System.out.println(token);
        jwtTokenManager.getUserInfoFromToken(token);

        byte[] encodeSecretKey = Base64.getEncoder().encode(jwtTokenManager.getTokenSignKey().getBytes(StandardCharsets.UTF_8));
        SecretKeySpec secretKeySpec1 = new SecretKeySpec(encodeSecretKey, "AES");
        System.out.println(secretKeySpec1.getFormat());

        SecretKeySpec secretKeySpec2 = new SecretKeySpec(encodeSecretKey, "AES");

        System.out.println(new String(secretKeySpec1.getEncoded()));
        System.out.println(new String(secretKeySpec1.getEncoded()));

        System.out.println(new String(secretKeySpec2.getEncoded()));
        System.out.println(new String(secretKeySpec2.getEncoded()));
    }


}