springboot整合jwt实现单点登录

最新推荐文章于 2024-08-30 21:57:50 发布

学java的小学生@f

最新推荐文章于 2024-08-30 21:57:50 发布

阅读量7.9k

点赞数 1

分类专栏： Java基础 java java后端文章标签： jwt jwt整合springboot jwt实现单点登录单点登录

本文链接：https://blog.csdn.net/qq_35872777/article/details/118530871

版权

本文详细介绍了如何使用JWT实现单点登录。首先，解析JWT的结构，包括Header、Payload和Signature三部分，并强调了Signature的重要性，用于防止内容被篡改。接着，讨论了JWT中的信息安全问题，指出不应包含敏感信息。最后，展示了在SpringBoot项目中整合JWT的步骤，包括添加依赖、编写测试类、创建JWTUtil工具类以及设置拦截器进行token验证，确保只有已登录用户才能访问受保护的接口。

摘要由CSDN通过智能技术生成

jwt的结构：

一、令牌组成

1、标头（Header）

-- 标头通常由两部分组成：令牌的类型（即JWT）和所使用的签名算法，例如

HMAC,SHA256或RSA,它会使用Base64编码组成JWT结构的第一部分。

{

“alg”:“HS256”,

"typ":"JWT"

}

2、有效载荷（Payload）

-- 令牌的第二部分是有效负责，其中包含声明，声明是有关实体（通常是用户）

和其他数据的声明，同样的，它会使用Base64编码组成jwt结构的第二部分。

3、签名（Signature）

因此，jwt通常如下所示：xxxxxx.yyyyyyy.zzzzzz 即：Header.Payload.Signature

4、Signature

前端两部分使用Base64进行编码的，即前端可以解开知道连的信息，Signatrue需要

使用编码后的header和payload以及我们提供的一个密钥，然后使用header中指定的

签名算法（HS256）进行签名，签名的作用是保证JWT没有被篡改过

如：

HMACSHA256(base64UrlEncode（header）*"."+base64UrlEncode（payload）.secret)

签名目的：

最后一步签名的过程，实际上是对头部以及负载内容进行签名，防止内容被篡改，如果有人对头部

以及负载内容解码之后进行修改在进行编码，最后加上之前的签名组合形成新的jwt的话，那么服务器端会判断出新的头部和负载形成的签名和jwt附带的签名是不一样的，如果要对新的头部和负载进行签名，在不知道服务端加密时用的密钥的话，得出来的签名也是不一样的。

信息安全问题：

因为Base64是一种编码，是可逆的，所以在jwt中，不应该在负载里面加入任何敏感的数据，在上面的例子中，我们传输的是用户的username，id，这些值实际上不是敏感信息，一般情况下被知道也是安全的，但是像密码这样的内容就不能放到jwt中，如果将用户的密码放在jwt中，那么怀有恶意的第三方通过Base64解码就能很快地知道密码，因此jwt适合用于向web应用传输一些非密码信息，jwt还用来设计认证和授权系统，甚至实现单点登录。

放在一起：

输出是三个由点分隔的Base64-URL字符串，可以在HTML和HTTP环境中轻松传递这些字符串，于基于xml的标准（SMAL）相比，更加紧凑。

---简洁（compact）

---可以通过URL,POST参数或者在HTTP header发送，因为数量小，传输速度快，

----自包含（self-contained）

负载中包含了所有用户所需要的信息，避免了多次查询数据库。示例如下：

eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJleHAiOjE2MjU1Nzk3NTEsInVzZXJuYW1lIjoiYWRtaW4ifQ.talbN1BwHvSZS-k2urNTfkxF-nAq3guLtaQK5Oy2wEM

使用jwt生成一个token的测试类：

1、在springboot项目中添加jwt的依赖