springboot整合jwt实现单点登录

jwt的结构：

一、令牌组成

1、标头（Header）

      -- 标头通常由两部分组成：令牌的类型（即JWT）和所使用的签名算法，例如

HMAC,SHA256或RSA,它会使用Base64编码组成JWT结构的第一部分。

{

       “alg”:“HS256”,

        "typ":"JWT"

}

2、有效载荷（Payload）

       -- 令牌的第二部分是有效负责，其中包含声明，声明是有关实体（通常是用户）

和其他数据的声明，同样的，它会使用Base64编码组成jwt结构的第二部分。

3、签名（Signature）

因此，jwt通常如下所示：xxxxxx.yyyyyyy.zzzzzz 即：Header.Payload.Signature

4、Signature

前端两部分使用Base64进行编码的，即前端可以解开知道连的信息，Signatrue需要

使用编码后的header和payload以及我们提供的一个密钥，然后使用header中指定的

签名算法（HS256）进行签名，签名的作用是保证JWT没有被篡改过

如： 

HMACSHA256(base64UrlEncode（header）*"."+base64UrlEncode（payload）.secret)

签名目的：

最后一步签名的过程，实际上是对头部以及负载内容进行签名，防止内容被篡改，如果有人对头部

以及负载内容解码之后进行修改在进行编码，最后加上之前的签名组合形成新的jwt的话，那么服务器端会判断出新的头部和负载形成的签名和jwt附带的签名是不一样的，如果要对新的头部和负载进行签名，在不知道服务端加密时用的密钥的话，得出来的签名也是不一样的。

信息安全问题：

因为Base64是一种编码，是可逆的，所以在jwt中，不应该在负载里面加入任何敏感的数据，在上面的例子中，我们传输的是用户的username，id，这些值实际上不是敏感信息，一般情况下被知道也是安全的，但是像密码这样的内容就不能放到jwt中，如果将用户的密码放在jwt中，那么怀有恶意的第三方通过Base64解码就能很快地知道密码，因此jwt适合用于向web应用传输一些非密码信息，jwt还用来设计认证和授权系统，甚至实现单点登录。

放在一起：

输出是三个由点分隔的Base64-URL字符串，可以在HTML和HTTP环境中轻松传递这些字符串，于基于xml的标准（SMAL）相比，更加紧凑。

---简洁（compact）

---可以通过URL,POST参数或者在HTTP header发送，因为数量小，传输速度快，

----自包含（self-contained）

负载中包含了所有用户所需要的信息，避免了多次查询数据库。示例如下：

eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJleHAiOjE2MjU1Nzk3NTEsInVzZXJuYW1lIjoiYWRtaW4ifQ.talbN1BwHvSZS-k2urNTfkxF-nAq3guLtaQK5Oy2wEM

使用jwt生成一个token的测试类：

1、在springboot项目中添加jwt的依赖

<!-- https://mvnrepository.com/