初见Token、JWT结构和Java的JJWT实现JWT（简洁明了的了解Token，以及Token认证和Cookie认证的区别）

1. 什么的Token？

Token的意思是令牌，跟cookie、session类似，一般是用来做用户认证。用户认证就是已经登录过的用户再次访问不用再次登录，服务器认为该用户是合法的。Token在现在web开发中运用广泛。

2. 为什么要使用Token？

这个问题我们就要谈到“认证机制”的区别

• HTTP Basic Auth，用户每次访问都携带帐号和密码。最简单的认证，但是由于将帐号和密码暴露给第三方客户端，有很大风险，现在基本不这样做。
• Cookie Auth，第一次请求时在服务端创建一个session对象，同时在浏览器端创建cookie，随后的用户请求都携带浏览器中的cookie，在服务端匹配session。
• Token Auth，用户登录后，服务端会向浏览器发送一个Token（字符串），当用户再次访问的时候会携带上Token字符串，当然Token字符串是经过加密的。

3.Token有什么优势？

现在我们为什么不使用Cookie认证而要使用Token认证？当然是Token认证更加优秀

1. 支持跨域访问，Cookie是不允许跨域访问的，而Token可以，当然Token不能放在Cookie中，要放在HTTP头中。
2. 无状态，有无状态就是说是否在服务器中存储信息，Cookie认证需要在服务器端存储session信息，而Token不需要，因为关于用户的信息都已经存放在Token中，这样大大减轻了服务器的压力。
3. 适用于更多平台，当你的客户端是一个原生平台（iOS, Android，Windows 8等）时，Cookie是不被支持的（你需要通过Cookie容器进行处理），这时采用Token认证机制就会简单得多。
4. 性能，Cookie认证比Token认证要慢很多，因为Cookie认证需要寻找在服务器中的session，而Token只需要进行解密就可以了。

4. 基于JWT的Token认证机制实现

JSON Web Token（JWT）是一个非常轻巧的规范。这个规范允许我们使用JWT在用户和服务器之间传递安全可靠的信息。

4.1 JWT的组成

由三部分组成：头部、载荷与签名。

头部（Header）
头部用于描述关于该JWT的最基本的信息，例如其类型以及签名所用的算法等。这也可以被表示成一个JSON对象。

{"typ":"JWT","alg":"HS256"}

在头部指明了签名算法是HS256算法。 我们进行BASE64编码（编码不是加密）

eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9

载荷（playload）
载荷就是存放有效信息的地方。这个名字像是特指飞机上承载的货品，这些有效信息包含三个部分
标准中注册的声明（建议但不强制使用）

iss: jwt签发者
sub: jwt所面向的用户
aud: 接收jwt的一方
exp: jwt的过期时间，这个过期时间必须要大于签发时间
nbf: 定义在什么时间之前，该jwt都是不可用的.
iat: jwt的签发时间
jti: jwt的唯一身份标识，主要用来作为一次性token,从而回避重放攻击。

{"sub":"1234567890","name":"John Doe","admin":true}

然后将其进行base64编码，得到Jwt的第二部分。

eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9

签证（signature）
jwt的第三部分是一个签证信息，这个签证信息由三部分组成：header (base64后的)、payload (base64后的)、secret(盐，加盐加密)
这个部分需要base64加密后的header和base64加密后的payload使用.连接组成的字符串，然后通过header中声明的加密方式进行加盐secret组合加密，然后就构成了jwt的第三部分。
secret:

TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ

将这三部分用.连接成一个完整的字符串,构成了最终的jwt:

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ

注意：secret是保存在服务器端的，jwt的签发生成也是在服务器端的，secret就是用来进行jwt的签发和jwt的验证，所以，它就是你服务端的私钥，在任何场景都不应该流露出去。一旦客户端得知这个secret, 那就意味着客户端是可以自我签发jwt了。

5. Java的JJWT实现JWT

JJWT是一个提供端到端的JWT创建和验证的Java库。

5.1 快速入门

环境maven项目，导入坐标

		<dependency>
            <groupId>io.jsonwebtoken</groupId>
            <artifactId>jjwt</artifactId>
            <version>0.6.0</version>
        </dependency>

5.1.1 生成令牌

创建CreateJwt 类

public class CreateJwt {
    public static void main(String[] args) {
        JwtBuilder jwtBuilder = Jwts.builder()
                .setId("666")
                .setSubject("小明")
                .setIssuedAt(new Date())
                .signWith(SignatureAlgorithm.HS256,"lois")//头部
                .setExpiration(new Date(new Date().getTime()+60000))//过期时间为1分钟
                .claim("role","admin");//自定义信息
        System.out.println(jwtBuilder.compact());
    }
}

• setIssuedAt用于设置签发时间
• signWith(使用的加密算法，盐) 用于设置签名秘钥
• setExpiration不是必须要写，可以是永久Token，但是不建议这样做
• claim可以自定义添加信息

运行类即可在控制台中看到输出

eyJhbGciOiJIUzI1NiJ9.eyJqdGkiOiI2NjYiLCJzdWIiOiLlsI_mmI4iLCJpYXQiOjE1NjQzODg2ODl9.KryyWowEat-L86CwsTzEfCw9IPaw3wWf0ddj9H98c_4

再次运行，会发现每次运行的结果是不一样的，因为我们的载荷中包含了时间。

5.1.2 解析令牌

创建解析类ParseJwtTest

public class ParseJwtTest {
    public static void main(String[] args) {
        Claims claims = Jwts.parser()
                .setSigningKey("lois")
                .parseClaimsJws("eyJhbGciOiJIUzI1NiJ9.eyJqdGkiOiI2NjYiLCJzdWIiOiLlsI_mmI4iLCJpYXQiOjE1NjQzOTEyMTEsImV4cCI6MTU2NDM5MTI3MSwicm9sZSI6ImFkbWluIn0.8JF9G6AX33wtzcdyT0NxpEsVEL2XEm5nklDtdykV5YI")
                .getBody();
        System.out.println("用户id:" + claims.getId());
        System.out.println("用户名:" + claims.getSubject());
        System.out.println("用户角色:" + claims.get("role"));//获取自定义信息
        System.out.println("登录时间:" + new SimpleDateFormat("yyyy-MM-dd HH:mm:ss").format(claims.getIssuedAt()));
        System.out.println("过期时间:" + new SimpleDateFormat("yyyy-MM-dd HH:mm:ss").format(claims.getExpiration()));
    }
}

• 解析使用Jwts中的parser方法
• setSigningKey设置解析盐
• parseClaimsJws令牌字段
• 返回Claims类似于Map，其中能获取到刚刚加密的信息。
• 获取自定义信息使用get方法

控制台显示

用户id:666
用户名:小明
用户角色:admin
登录时间:2019-07-29 17:06:51
过期时间:2019-07-29 17:07:51

有一点是要注意的，因为Token过期后，再次运行解析类会报一个错

Exception in thread "main" io.jsonwebtoken.ExpiredJwtException: JWT expired at 2019-07-29T16:57:47+0800. Current time: 2019-07-29T16:59:33+0800

所以我们最好给解析类套上一个try-catch

作者编写不易，转载请注明我的博客，如果觉得写的不错的话，请随手点个赞，谢谢！！！
作者编写不易，转载请注明我的博客，如果觉得写的不错的话，请随手点个赞，谢谢！！！
作者编写不易，转载请注明我的博客，如果觉得写的不错的话，请随手点个赞，谢谢！！！