javaApi JWT token生成以及验证

最新推荐文章于 2024-05-01 19:17:00 发布
最新推荐文章于 2024-05-01 19:17:00 发布
阅读量6.2k 收藏 31
点赞数 4
分类专栏： java 文章标签： java jwt
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_46859110/article/details/120570420
版权

JWT简介

JSON Web token简称JWT， 是用于对应用程序上的用户进行身份验证的标记。也就是说, 使用 JWTS 的应用程序不再需要保存有关其用户的 cookie 或其他session数据。此特性便于可伸缩性, 同时保证应用程序的安全。

在身份验证过程中, 当用户使用其凭据成功登录时, 将返回 JSON Web token, 并且必须在本地保存 (通常在本地存储中)。

每当用户要访问受保护的路由或资源 (端点) 时, 用户代理(user agent)必须连同请求一起发送 JWT, 通常在授权标头中使用Bearer schema。后端服务器接收到带有 JWT 的请求时, 首先要做的是验证token。

格式

  • JWT就是一个字符串，经过加密处理与校验处理的字符串，形式为：A.B.C

  • A由JWT头部信息header经过base64加密得到

在这里插入图片描述
B是payload，存放有效信息的地方，这些信息包含三个部分：

  • 标准中注册的声明 (建议但不强制使用)

  • iss: jwt签发者

  • sub: jwt所面向的用户

  • aud: 接收jwt的一方

  • exp: jwt的过期时间，这个过期时间必须要大于签发时间

  • nbf: 定义在什么时间之前，该jwt都是不可用的.

  • iat: jwt的签发时间

  • jti: jwt的唯一身份标识，主要用来作为一次性token,从而回避重放攻击。

  • 公共的声明

  • 公共的声明可以添加任何的信息，一般添加用户的相关信息或其他业务需要的必要信息.但不建议添加敏感信息，因为该部分在客户端可解密.

  • 私有的声明

  • 私有声明是提供者和消费者所共同定义的声明，一般不建议存放敏感信息，因为base64是对称解密的，意味着该部分信息可以归类为明文信息。

  • 在这里插入图片描述

  • C由A和B通过加密算法得到，用作对token进行校验，看是否有效

  • 这个部分需要base64加密后的header和base64加密后的payload使用.连接组成的字符串，然后通过header中声明的加密方式进行加盐secret组合加密，然后就构成了jwt的第三部分。

  • 在这里插入图片描述

流程

在这里插入图片描述

导入依赖

    <parent>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-parent</artifactId>
        <version>2.1.8.RELEASE</version>
        <relativePath/>
    </parent>
    <dependencies>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-web</artifactId>
        </dependency>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter</artifactId>
        </dependency>
        <dependency>
            <groupId>io.jsonwebtoken</groupId>
            <artifactId>jjwt</artifactId>
            <version>0.9.1</version>
        </dependency>
        <dependency>
            <groupId>org.projectlombok</groupId>
            <artifactId>lombok</artifactId>
        </dependency>

    </dependencies>

jwt工具类

public class AppJwtUtil {

    // TOKEN的有效期一天（S）
    private static final int TOKEN_TIME_OUT = 3_600;
    // 加密KEY
    private static final String TOKEN_ENCRY_KEY = "MDk4ZjZiY2Q0NjIxZDM3M2NhZGU0ZTgzMjYyN2I0ZjY";
    // 最小刷新间隔(S)
    private static final int REFRESH_TIME = 300;

    // 生产ID
    public static String getToken(Long id){
        Map<String, Object> claimMaps = new HashMap<>();
        claimMaps.put("id",id);
        long currentTime = System.currentTimeMillis();
        return Jwts.builder()
                .setId(UUID.randomUUID().toString())
                .setIssuedAt(new Date(currentTime))  //签发时间
                .setSubject("system")  //说明
                .setIssuer("heima") //签发者信息
                .setAudience("app")  //接收用户
                .compressWith(CompressionCodecs.GZIP)  //数据压缩方式
                .signWith(SignatureAlgorithm.HS512, generalKey()) //加密方式
                .setExpiration(new Date(currentTime + TOKEN_TIME_OUT * 1000))  //过期时间戳
                .addClaims(claimMaps) //cla信息
                .compact();
    }

    /**
     * 获取token中的claims信息
     *
     * @param token
     * @return
     */
    private static Jws<Claims> getJws(String token) {
            return Jwts.parser()
                    .setSigningKey(generalKey())
                    .parseClaimsJws(token);
    }

    /**
     * 获取payload body信息
     *
     * @param token
     * @return
     */
    public static Claims getClaimsBody(String token) {
        try {
            return getJws(token).getBody();
        }catch (ExpiredJwtException e){
            return null;
        }
    }

    /**
     * 获取hearder body信息
     *
     * @param token
     * @return
     */
    public static JwsHeader getHeaderBody(String token) {
        return getJws(token).getHeader();
    }

    /**
     * 是否过期
     *
     * @param claims
     * @return -1：有效，0：有效，1：过期，2：过期
     */
    public static int verifyToken(Claims claims) {
        if(claims==null){
            return 1;
        }
        try {
            claims.getExpiration()
                    .before(new Date());
            // 需要自动刷新TOKEN
            if((claims.getExpiration().getTime()-System.currentTimeMillis())>REFRESH_TIME*1000){
                return -1;
            }else {
                return 0;
            }
        } catch (ExpiredJwtException ex) {
            return 1;
        }catch (Exception e){
            return 2;
        }
    }

    /**
     * 由字符串生成加密key
     *
     * @return
     */
    public static SecretKey generalKey() {
        byte[] encodedKey = Base64.getEncoder().encode(TOKEN_ENCRY_KEY.getBytes());
        SecretKey key = new SecretKeySpec(encodedKey, 0, encodedKey.length, "AES");
        return key;
    }

    public static void main(String[] args) {
        String token = AppJwtUtil.getToken(1102L);
        System.out.println(token);
        Jws<Claims> jws = AppJwtUtil.getJws(token);
        Claims claims = jws.getBody();
        System.out.println(claims);

        Claims claimsBody = AppJwtUtil.getClaimsBody(token);
        System.out.println(claimsBody.get("id"));
        System.out.println(claims.get("id"));

    }

}

生成token

	public String createToken(Long id){
        String token = AppJwtUtil.getToken(id);
        return token;
    }

解析token

	public Integer solutionToken(String token) {
        Claims claimsBody = AppJwtUtil.getClaimsBody(token);
        Object id = claimsBody.get("id");
        return (Integer) id;
    }

controller测试

	@Autowired
    private UserService userService;
    
	@GetMapping("/token/{id}")
    public String createToken(@PathVariable Long id){
        String token = userService.createToken(id);
        return token;
    }

    @PostMapping("/token")
    public Integer solutionToken(@RequestHeader String token){
        Integer integer = userService.solutionToken(token);
        System.out.println(integer);
        return integer;
    }

我在这里用的postman工具进行端口测试
生成token
在这里插入图片描述
解析token
在这里插入图片描述
但是这种方法，需要每次都对token进行验证，比较麻烦，也耗费资源。

filter过滤器验证token

UserThreadLocalUtil工具类

ThreadLocal用于保存某个线程共享变量：对于同一个static ThreadLocal，不同线程只能从中get，set，remove自己的变量，而不会影响其他线程的变量。

public class UserThreadLocalUtil {
    private final static  ThreadLocal<Integer> userThread =new ThreadLocal<>();

    /**
     * 存储id
     * @param id
     */
    public static void setUser(Integer id){
        userThread.set(id);
    }

    /**
     * 获得id
     * @return
     */
    public static Integer getUser(){
        return userThread.get();
    }
    
	/**
     * 移除
     */
    public static void remove() {
        userThread.remove();
    }
}

filter过滤器

@Order(1)
@WebFilter(filterName = "UserTokenFilter",urlPatterns = "/*")
public class UserTokenFilter extends GenericFilterBean {
    @Override
    public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException {
        HttpServletRequest request = (HttpServletRequest) servletRequest;
        HttpServletResponse response = (HttpServletResponse) servletResponse;
        //得到header中的信息
        String token = request.getHeader("token");
        Integer id=null; //设置id为null
        if (token!=null){ //如果token不为空，解析token，token为空则不处理
            Claims claimsBody = AppJwtUtil.getClaimsBody(token);
            id = (Integer) claimsBody.get("id");
        }
        if(id!=null){ //判断解析token得出的id是否为null
            UserThreadLocalUtil.setUser((Integer) id);//不为null则加入到线程种
        }//为null不做处理
        filterChain.doFilter(request,response); //放行
    }
}

要想使@WebFilter生效。需要加入一个注解

@SpringBootApplication
@ServletComponentScan //@WebFilter生效
public class TokenApplication {
    public static void main(String[] args) {
        SpringApplication.run(TokenApplication.class,args);
    }
}

测试

@GetMapping("/token")
    public String createToken(){
        Integer user = UserThreadLocalUtil.getUser(); //在线程种读取id
        if (user==null){
            return "错误";
        }
        return "这是一个验证器";
    }

没有token，报错
在这里插入图片描述
有token时，通行
在这里插入图片描述

拦截器验证token

自定义注解

@Target(ElementType.METHOD)
@Retention(RetentionPolicy.RUNTIME)
@Documented //标记注解
public @interface NoAuthorization {

}

自定义拦截器

@Component
public class UserTokenInterceptor implements HandlerInterceptor {

    @Autowired
    private UserService userService;

    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {

        if(!(handler instanceof HandlerMethod)){
            return true;  //放行
        }

        //判断是否有@NoAuthorization注解   如果包含，直接放行，结束
        if (((HandlerMethod) handler).hasMethodAnnotation(NoAuthorization.class)) {
            return true;
        }

        //从请求头中获取token
        String token = request.getHeader("token");
        if(token!=null){
            Integer integer = userService.solutionToken(token);
            if(integer != null){
                //token有效
                //将User对象放入到ThreadLocal中
                UserThreadLocalUtil.setUser(integer);
                return true;
            }
        }

        //token无效，响应状态为401
        response.setStatus(401); //无权限

        return false;
    }

    @Override
    public void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler, Exception ex) throws Exception {
        //从ThreadLocal中移除User对象
        System.out.println("移除对象");
        UserThreadLocalUtil.remove();
    }
}

注册拦截器

@Configuration
public class WebConfig implements WebMvcConfigurer {



    @Autowired
    private UserTokenInterceptor userTokenInterceptor;

    @Override
    public void addInterceptors(InterceptorRegistry registry) {

        registry.addInterceptor(this.userTokenInterceptor).addPathPatterns("/**");

    }
}

启动测试

需要在生成token的接口上使用自定义注解，不然会无法生成token

@NoAuthorization
    @GetMapping("/token/{id}")
    public String createToken(@PathVariable Long id){
        String token = userService.createToken(id);
        return token;
    }

验证接口

  @GetMapping("/token")
    public String createToken(){
        Integer user = UserThreadLocalUtil.getUser();
        if (user==null){
            return "错误";
        }
        return "这是一个验证器";
    }

不加token
在这里插入图片描述

加token
在这里插入图片描述

java菜鸟231
关注
  • 4
    点赞
  • 踩
  • 31
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
专栏目录
JWT 生成Token及验证
01-22
JWT生成token及验证（过期时间）用于前后断分离，及APP认证，可结合redis使用也可单独使用。
java中的token认证
qq_39554240的博客
04-28 775
上篇博文写了限制ip访问次数，这次写token认证。token认证必须是在用户登录之后，用jwt生成，然后将token信息存到response的消息头中来实现的。首先要放行登录的controller，未登录之前不需要token认证，登录之后再进行token认证。验证过程为：首先获取头信息，取出头信息中的内容。调用工具类获取出用户名，根据已登录的用户名集合判断是否是登录状态，登录的用户名集合是存放在...
Java实战：JWT Token认证授权方案
oandy0的博客
02-23 742
本文将详细介绍如何在Spring Boot应用程序中实现JWT（JSON Web Token）Token认证授权
java生成token和验证token
卿着飞翔
01-22 2051
java生成token和验证token 1，登录生成token public class TokenService { public String getToken(User user) { Date start = new Date(); //一小时有效时间 long currentTime = System.currentTimeMillis() +...
Java实现Token登录验证(基于JWT的token认证实现)
热门推荐
shuux666的博客
03-12 2万+
文章目录 一、JWT是什么？ 二、使用步骤 1.项目结构 2.相关依赖 3.数据库 4.相关代码 三、测试结果 一、JWT是什么？ 在介绍JWT之前，我们先来回顾一下利用token进行用户身份验证的流程： 1、客户端使用用户名和密码请求登录 2、服务端收到请求，验证用户名和密码 3、验证成功后，服务端会签发一个token，再把这个token返回给客户端 4、客户端收到token后可以把它存储起来，比如放到cookie中 5、客户端每次向服务端请求资源时需要携带服务端签发的token，可以在co
令牌桶 客户端请求_使用刷新的令牌和cookie进行安全的客户端身份验证
weixin_26636643的博客
09-27 830
令牌桶 客户端请求To start off, this is my first article here. I’ve thought about writing it for a while now. Ever since we planned and implemented what we call a moderately secure way to actually authenticate...
Java实现基于token认证
qq_43058337的博客
12-29 1万+
Java实现基于token认证
Java实现Token的生成与验证
qq_38410963的博客
02-15 6360
二、基于JWT的token认证实现 JWT：JSON Web Token，其实token就是一段字符串，由三部分组成：Header，Payload，Signature 1、引入依赖 <dependency> <groupId>com.auth0</groupId> <artifactId>java-jwt</artifactId> <version>3.8.2</version> <
Java简单快速入门JWT（token生成与验证）
greatming666的博客
09-08 6331
java jwt简单了解并快速上手
Java实现token的生成与验证-登录功能
xiaokanfuchen86的博客
09-04 3001
jwt
如何生成以及校验token
devops
04-25 5081
token是由服务端创建的一串字符串，登陆成功后发送给前端存储在浏览器或本地中，以后每次发送请求都携带上。
jwt_token_test.zip
05-21
java使用jwt实现移动端api接口token认证。使用场景：app调用后台api接口用户验证。---------
ShiroJwt：API SpringBoot + Shiro + Java-Jwt + Redis（Jedis）
02-04
ShiroJwt 前端地址： : 疑问查看 项目相关 JavaDoc： ： 关联文档： : 教程目录： : 可转换数据库形式（MySQL）： : ... Shiro + Java-JWT实现无状态鉴权机制（令牌） 密码加密（采用AES-128 + Base6
spittr:RESTful API服务器，由Spring，Spring MVC，MyBatis基于Java 8，MySql，Redis实现
04-30
概览spittr 该名字来源于《Spring 实战》一书，接口设计使用 restful 风格。该项目使用的技术：SpringSpring MVCMyBatis 3.4Spring-testJUnitRedisMySqlJWT配置数据库脚本：schema.sql 。根据需要更改 application....
jwt-token-Request:当发送任何其他api请求时，然后使用jwt令牌发送
05-17
jwt-token-Request 当发送任何其他api请求时，然后使用jwt令牌发送
auth-api:OAuth2方法中的JWT实现（acccessToken，refreshToken）
04-08
身份验证API 在OAuth2方法（acccessToken，refreshToken）中实现JWT 开发环境 Spring启动2.4.4 Spring安全 JWT库-> io.jsonwebtoken JPA H2服务器模式 项目流程 运行服务器时的默认用户插入处理（测试数据） ...
链表刷题集
yajunjiao的专栏
04-30 813
本文主要列举了一些刷的题，不多，有那么几道，也建议各位去建立自己的刷题集。积少成多。
Spring Cloud——LoadBalancer
最新发布
????
05-01 1797
这里只是简单的讲解了一下LoadBalancer如何使用，因为实际上我们使用的不是很多，主要还是使用OpenFeign。
d15(136-148)-勇敢开始Java，咖啡拯救人生
m0_73459387的博客
04-28 1348
对象哈希值的特点：同一个对象调用hashCode()返回的哈希值相同；HashMap的键依赖hashCode方法和equals方法保证键的唯一，存储自定义类型的对象时，重写这两个方法。实际上，Set系列集合的底层就是基于Map实现的，只是Set集合中的元素要键数据，不要值数据。当12个位置都占满时就会扩容，大约扩容为原来的二倍，再把原数组数据转移到新数组。使用迭代器遍历集合时，又同时在删除集合中的数据，程序就会出现并发修改异常的错误。基于哈希表实现，每个键值对额外多了一个双链表的机制，记录元素顺序（保证。
java解析jwt token
06-08
要解析JWT token，可以使用Java JWT库，它提供了一组简单的API用于处理JWT token。以下是一个基本的示例： ```java import io.jsonwebtoken.Claims; import io.jsonwebtoken.Jwt; import io.jsonwebtoken.Jwts; public class JWTUtils { public static Claims decodeJWT(String jwt) { Claims claims = Jwts.parser() .setSigningKey("secretKey") // 设置签名密钥 .parseClaimsJws(jwt) .getBody(); return claims; } } ``` 在上面的示例中，`decodeJWT`方法接受一个JWT token作为参数，并返回`Claims`对象，它包含了JWT token中的声明。在这个示例中，我们使用`Jwts.parser()`创建一个JWT parser，然后使用`setSigningKey`方法设置签名密钥，最后调用`parseClaimsJws`方法解析JWT token并返回`Claims`对象。 请注意，上述示例中的密钥是硬编码的，这并不是一个好的实践。密钥应该存储在安全的地方，例如环境变量或配置文件中，并在运行时从这些地方加载。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值