Demo介绍:
1,使用jwt工具类为使用者生成token
2,后续接口请求需要携带token header信息
3,拦截器进行token合法校验,成功方能获取数据。
demo git地址:https://github.com/RuofeiSun/springboot-jwt.git
项目依赖:
<!--Spring框架基本的核心工具-->
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter</artifactId>
</dependency>
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-web</artifactId>
</dependency>
<dependency>
<groupId>com.auth0</groupId>
<artifactId>java-jwt</artifactId>
<version>3.4.0</version>
</dependency>
<dependency>
<groupId>org.apache.logging.log4j</groupId>
<artifactId>log4j-slf4j-impl</artifactId>
<version>2.12.0</version>
</dependency>
<!-- lombok -->
<dependency>
<groupId>org.projectlombok</groupId>
<artifactId>lombok</artifactId>
<scope>1.8.4</scope>
</dependency>
<dependency>
<groupId>com.alibaba</groupId>
<artifactId>fastjson</artifactId>
<version>1.2.47</version>
</dependency>
token生成:
public static String createToken(String userId){
//获取加上过期时间后的时间
Date nowDate = new Date();
System.out.println(nowDate);
Date expiresDate = new Date(System.currentTimeMillis()+expiresTime);
Map<String,Object> map = new HashMap<String,Object>();
map.put("alg", "HS256");
map.put("typ", "JWT");
String token = JWT.create().withHeader(map) //请求头
.withClaim("iss", "Service") //签发方
.withClaim("aud", "Client") //接收方
.withClaim("userId", null==userId?null:userId) //存储信息,用户ID
.withIssuedAt(nowDate) //当前时间
.withExpiresAt(expiresDate) //过期时间
.sign(Algorithm.HMAC256(SECRET)); //私钥
return token;
}
此处可以看到auth0.jwt中的JWT.create方法来实现了JWT编码的三个部分,
Header:JWT的头部承载两部分信息:token类型和采用的加密算法。
Payload:载荷就是存放有效信息的地方
"有效信息包含三个部分
1.标准中注册的声明
2.公共的声明
3.私有的声明标准中注册的声明 (建议但不强制使用) :
iss
: jwt签发者sub
: 面向的用户(jwt所面向的用户)aud
: 接收jwt的一方exp
: 过期时间戳(jwt的过期时间,这个过期时间必须要大于签发时间)nbf
: 定义在什么时间之前,该jwt都是不可用的.iat
: jwt的签发时间jti
: jwt的唯一身份标识,主要用来作为一次性token
,从而回避重放攻击。公共的声明 :
公共的声明可以添加任何的信息,一般添加用户的相关信息或其他业务需要的必要信息.但不建议添加敏感信息,因为该部分在客户端可解密."
私有的声明 :
私有声明是提供者和消费者所共同定义的声明,一般不建议存放敏感信息,因为
base64
是对称解密的,意味着该部分信息可以归类为明文信息。
Sign:签名(根据本地的私钥加盐的组合加密)
jwt的第三部分是一个签证信息
这个部分需要base64
加密后的header
和base64
加密后的payload
使用.
连接组成的字符串,然后通过header
中声明的加密方式进行加盐secret
组合加密
token校验:
用本地的私钥对token进行验证
/**
* 验证token合法性
* @param token
* @return
*/
public static boolean verifyToken(String token){
try{
JWTVerifier verifier = JWT.require(Algorithm.HMAC256(SECRET)).build();
verifier.verify(token);
return true;
}catch(Exception e){
log.error(e.getMessage(), e);
return false;
}
}
配置拦截器对token进行验证:
public class AuthInterceptor implements HandlerInterceptor {
@Override
public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
// 从 http 请求头中取出 token
String token = request.getHeader("token");
if (StringUtils.isEmpty(token)){
throw new Exception("无token,请重新登录");
}
//jwt验证
if (!TokenManager.verifyToken(token)){
throw new Exception("token验证失败");
}
return true;
}
@Override
public void postHandle(HttpServletRequest request, HttpServletResponse response, Object handler, ModelAndView modelAndView) throws Exception {
}
@Override
public void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler, Exception ex) throws Exception {
}
}
接口测试类:
@RestController
@RequestMapping("/test")
public class TestController {
/**
* 登录并获取token
* @param userName
* @param passWord
* @return
*/
@PostMapping("/login")
public Object login( String userName, String passWord)throws Exception{
JSONObject jsonObject=new JSONObject();
// 检验用户是否存在(为了简单,这里假设用户存在,并制造一个uuid假设为用户id)
String userId = UUID.randomUUID().toString();
// 生成签名
String token= TokenManager.createToken(userId);
Map<String, String> userInfo = new HashMap<>();
userInfo.put("userId", userId);
userInfo.put("userName", userName);
userInfo.put("passWord", passWord);
jsonObject.put("token", token);
jsonObject.put("user", userInfo);
return jsonObject;
}
/**
* 该接口需要带签名才能访问
* @return
*/
@GetMapping("/getMessage")
public String getMessage(){
return "你已通过验证";
}
}
效果:
模拟登录获取token
直接访问getMessage不带token
带token访问getMessage