JWT：你真的了解它吗？

石头聊技术

已于 2024-04-13 16:28:37 修改

阅读量955

点赞数 26

文章标签：网络 java 安全架构 spring boot 后端 spring cloud

于 2024-04-07 10:12:05 首次发布

本文为博主原创文章，未经博主允许不得转载。

本文链接：https://blog.csdn.net/qq_18153015/article/details/137453951

版权

大家好，我是石头~

在数字化时代，网络安全和用户隐私保护成为了我们无法忽视的关键议题，也是我们作为一个后端开发的必修课。

而在这个领域中，JWT（JSON Web Token）作为一种现代、安全且高效的会话管理机制，在各类Web服务及API接口中得到了广泛应用。

那么，什么是JWT？

下载 (3).jfif

1、初识JWT

JWT，全称为JSON Web Token，是一种开放标准（RFC 7519），用于在网络应用环境间安全地传输信息。

它本质上是一个经过数字签名的JSON对象，能够携带并传递状态信息（如用户身份验证、授权等）。

了解了JWT之后，那么它的组成结构又是怎样的？

2、JWT的结构

u=2288314449,1048843062&fm=253&fmt=auto&app=138&f=JPEG.webp

如上图，JWT由三部分组成，通过点号（.）连接，这三部分分别是头部（Header）、载荷（Payload）和签名（Signature）。

头部（Header）：声明了JWT的类型（通常是JWT）以及所使用的加密算法（例如HMAC SHA256或RSA）
载荷（Payload）：承载实际数据的部分，可以包含预定义的声明（如iss（签发者）、exp（过期时间）、sub（主题）等）以及其它自定义的数据。这些信息都是铭文的，但不建议存放敏感信息。
签名（Signature）：通过对前两部分进行编码后的信息，使用指定的密钥通过头部（Header）中声明的加密算法生成，拥有验证数据完整性和防止篡改。

3、JWT的常规认证流程

JWT的认证流程如上图。当用户登录时，服务器通过验证用户名和密码后，会生成一个JWT，并将其发送给客户端。这个JWT中可能包含用户的认证信息、权限信息以及其它必要的业务数据。

客户端在接收到JWT后，通常将其保存在本地（如Cookie、LocalStorage或者SessionStorage）。

客户端在后续的请求中，携带此JWT（通常是附在HTTP请求头中），无需再次提交用户名和密码。服务器只需对收到的JWT进行解码并验证签名，即可完成用户身份的确认和权限验证。

4、JWT的完整认证流程

在上面的JWT常规认证流程中，我们可以正常完成登陆、鉴权等认证，但是你会发现在这个流程中，我们无法实现退出登陆。

当服务端将JWT发放给客户端后，服务端就失去了对JWT的控制权，只能等待这些发放出去的JWT超过有效期，自然失效。

为了解决这个问题，我们引入了缓存，如下图。

当服务端生成JWT之后，在返回给客户端之前，先将JWT存入缓存中。要鉴权的时候，需要检验缓存中是否存在这个JWT。

这样的话，如果用户退出登陆，我们只需要将缓存中的JWT删除，即可保证发放出去的JWT无法再通过鉴权。

5、JWT的优势与挑战

JWT的主要优点在于无状态性，服务器无需存储会话状态，减轻了服务器压力，同时提高了系统的可扩展性和性能。

此外，由于JWT的有效期限制，增强了安全性。

然而，JWT也面临一些挑战，比如密钥的安全保管、JWT过期策略的设计以及如何处理丢失或被盗用的情况。

因此，在实际应用中，需要综合考虑业务场景和技术特性来合理运用JWT。

6、JWT示例

概念讲完了，我们最后来看个实例吧。

 // Java代码示例
    import io.jsonwebtoken.Jwts;
    import io.jsonwebtoken.SignatureAlgorithm;

    // 假设有一个User类，其中包含用户ID
    public class User {
        private String id;
        // 其他属性和方法...
    }

    // 创建JWT
    public String generateJWT(User user) {
        // 设置秘钥（在此处使用的是HMAC SHA-256算法）
        String secret = "your-secret-key"; // 在实际场景中应当从安全的地方获取秘钥
        long ttlMillis = 60 * 60 * 1000; // JWT的有效期为1小时

        // 构建载荷，包含用户ID和其他相关信息
        Map<String, Object> claims = new HashMap<>();
        claims.put("userId", user.getId());
        claims.put("exp", System.currentTimeMillis() + ttlMillis); // 设置过期时间

        // 生成JWT
        String jwt = Jwts.builder()
                .setClaims(claims)
                .signWith(SignatureAlgorithm.HS256, secret.getBytes(StandardCharsets.UTF_8))
                .compact();
        // TODO JWT写入缓存
        return jwt;
    }

    // 验证JWT
    public boolean validateJWT(String jwtToken, String secretKey) {
        boolean flag = false;
        try {
            Jwts.parser().setSigningKey(secretKey.getBytes(StandardCharsets.UTF_8)).parseClaimsJws(jwtToken);
            // 如果没有抛出异常，则JWT验证通过
            flag = true;
        } catch (ExpiredJwtException e) {
            // 如果Token过期
            System.out.println("JWT已过期");
        } catch (UnsupportedJwtException | MalformedJwtException | SignatureException | IllegalArgumentException e) {
            // 其他非法情况，如格式错误、签名无效等
            System.out.println("JWT验证失败：" + e.getMessage());
        }
        if (flag) {
            // TODO 校验缓存中是否有该JWT
        }
        return false;
    }

    // 使用示例
    public static void main(String[] args) {
        User user = new User("123"); // 假设这是合法用户的ID
        String token = generateJWT(user); // 生成JWT
        System.out.println("生成的JWT Token: " + token);

        // 验证生成的JWT
        boolean isValid = validateJWT(token, "your-secret-key");
        if (isValid) {
            System.out.println("JWT验证通过！");
        } else {
            System.out.println("JWT验证未通过！");
        }
    }