JWT令牌

君擎

已于 2023-12-11 20:44:56 修改

阅读量142

点赞数

文章标签： java-ee

于 2023-12-03 16:43:29 首次发布

本文链接：https://blog.csdn.net/qq_64225133/article/details/134766767

版权

本文讨论了HTTP无状态性带来的问题，介绍了使用Cookie、Session和JWT进行会话跟踪的解决思路，重点讲解了JWT的工作原理、优点和应用场景，以及如何在实际项目中使用JWT进行安全的用户认证。

摘要由CSDN通过智能技术生成

文章目录

一、问题说明
二、解决思路
三、具体解决方法
四、JWT令牌

一、问题说明

HTTP是无状态的，每一次请求都是独立的，下一次请求不会携带上一次请求的数据。因此无法判断用户是否登录。

二、解决思路

在后端增加一个统一拦截，在每次请求后端服务器的时候，首先要进行校验。如果用户已经有了登录标记，那么可以正常请求接口。如果用户没有获取登录标记，或者登录标记有问题，那么就会给前端响应一个错误信息。

三、具体解决方法

1.会话跟踪Cookie

浏览器第一次请求的时候，服务器会响应一个cookie，浏览器将cookie解析出来，存储在客户端的本地中，后面每次请求都会将Cookie携带到请求头中

优点：HTTP协议中支持的技术
缺点：
1. 移动端APP无法使用Cookie
2. 存储到用户本地不安全，用户可以自己禁用Cookie
3. Cookie不能跨域【前后端不是同一台服务器】
  
  协议、IP地址、端口号三者只要有一个不同就是跨域操作。

2.会话跟踪Session

Session的底层就是使用Cookie实现的。

浏览器第一次访问的时候，服务器会产生一个session，然后服务器会把session的id放到Cookie中返回给客户端，客户端接收之后就会将这个Cookie保存起来，下次请求的时候就会携带这个Cookie去找Session

优点：存储在服务器，安全
缺点：
1. 在服务器集群环境下无法直接使用
2. Cookie的缺点他都有

3.令牌技术

存储在客户端的身份凭证，每次访问都会校验

优点：
1. 支持PC端、移动端
2. 解决集群环境下的认证问题
3. 减轻服务器存储压力
缺点：需要自己实现

四、JWT令牌

1.JWT简介

全称：JSON Web Token

将原始的json数据进行封装。可以在里面存储我们自定义的信息。
后端生成的jwt令牌会被前端保存在token中，每次请求都会在请求头的token参数中携带，所以可以使用request.getHead方法获取token

2.JWT的组成

由三部分组成，每个部分中间使用.隔开

第一部分：记录令牌类型和签名算法等。例如：{"alg":"HS256","type":"JWT"}

数据经过Base64编码后得到第一串数据
第二部分：可以携带一些自定义内容、默认信息等。例如：{"id":"1","username":"Tom"}
第三部分：签名。将第一部分、第二部分、指定密钥通过指定算法计算而来。防止Token被篡改，确保安全性。

3.应用场景

浏览器发起登录请求，登录成功后，服务器会产生一个JWT令牌，然后将JWT令牌返回给前端。前端拿到之后会存储起来。然后在后续的请求中，每一次请求都会携带JWT令牌。服务端会将请求先拦截下来，校验是否携带令牌，如果没携带直接报错，如果携带了就会进行校验

4.JWT基本使用

引入JWT令牌的依赖

<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt</artifactId>
    <version>0.9.1</version>
</dependency>

在登录方法上生成JWT令牌

Map<String, Object> claims = new HashMap<>();//保存我们自定义数据的集合
//调用Jwts.builder方法生成JWT令牌
String jwt = Jwts.builder()
				//指定第一部的分签名算法（令牌类型就是jwt所以不需要指定type了）和密钥
             .signWith(SignatureAlgorithm.HS256, "junqing")//这里的第二个参数就是密钥
             //第二部分：设置自定义数据【需要一个Map集合】
              .setClaims(claims)
              //设置令牌有效期（单位是毫秒，1000毫秒=1秒）
              .setExpiration(new Date(System.currentTimeMillis() + 3600 * 1000))
              .compact();//会将结果转化成一个字符串

解析JWT令牌【不报错就是正常】

//调用Jwts.parser方法解析JWT令牌
Claims junqing = Jwts.parser()
                .setSigningKey("junqing")//密钥【需要和加密的一样】
                .parseClaimsJws(jwt)//需要解码的令牌字符串
                .getBody();//获取自定义内容【map集合中的信息】