使用Java实现JWT身份验证与授权

大家好，我是微赚淘客系统3.0的小编，也是冬天不穿秋裤，天冷也要风度的程序猿！

JWT简介与原理

JWT（JSON Web Token）是一种开放标准（RFC 7519），它定义了一种紧凑且独立的方式，可以安全地在各方之间作为JSON对象进行传输。JWT通常用于身份验证和信息交换，由三部分组成：头部（Header）、载荷（Payload）和签名（Signature）。典型的JWT看起来如下所示：xxxxx.yyyyy.zzzzz，每个部分通过.分隔。

1. JWT的生成与验证

在Java中实现JWT的生成和验证需要使用相关的库，例如jjwt（Java JWT：cn.juwatech.jwt.*）。下面是一个简单的示例：

package cn.juwatech.jwt;

import io.jsonwebtoken.Claims;
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;

import java.util.Date;

public class JwtUtil {

    private static final String SECRET_KEY = "secretKey";

    // 生成JWT
    public static String generateJwt(String subject) {
        return Jwts.builder()
                .setSubject(subject)
                .setIssuedAt(new Date())
                .setExpiration(new Date(System.currentTimeMillis() + 1000 * 60 * 60 * 10)) // 设置过期时间为10小时
                .signWith(SignatureAlgorithm.HS256, SECRET_KEY)
                .compact();
    }

    // 验证JWT
    public static boolean validateJwt(String jwt) {
        try {
            Jwts.parser().setSigningKey(SECRET_KEY).parseClaimsJws(jwt);
            return true;
        } catch (Exception e) {
            return false;
        }
    }

    public static void main(String[] args) {
        String jwt = generateJwt("user123");
        System.out.println("Generated JWT: " + jwt);

        boolean isValid = validateJwt(jwt);
        System.out.println("JWT is valid: " + isValid);
    }
}
  • 1.
  • 2.
  • 3.
  • 4.
  • 5.
  • 6.
  • 7.
  • 8.
  • 9.
  • 10.
  • 11.
  • 12.
  • 13.
  • 14.
  • 15.
  • 16.
  • 17.
  • 18.
  • 19.
  • 20.
  • 21.
  • 22.
  • 23.
  • 24.
  • 25.
  • 26.
  • 27.
  • 28.
  • 29.
  • 30.
  • 31.
  • 32.
  • 33.
  • 34.
  • 35.
  • 36.
  • 37.
  • 38.
  • 39.
  • 40.

在这个示例中，通过generateJwt方法生成JWT，设置了主题（Subject）、签发时间（Issued At）和过期时间（Expiration），然后使用validateJwt方法验证JWT的有效性。

2. 将JWT用于身份验证与授权

通常情况下，JWT被用作身份验证令牌。在Web应用中，可以通过JWT来实现无状态的身份验证，服务端验证JWT的签名后可以信任其中的信息，如用户ID、权限等。

3. 集成Spring Boot实现JWT身份验证

结合Spring Boot可以更方便地实现JWT的集成，例如通过Spring Security来验证JWT，控制访问权限等。以下是一个简单的示例：

package cn.juwatech.jwt;

import org.springframework.boot.SpringApplication;
import org.springframework.boot.autoconfigure.SpringBootApplication;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RequestParam;
import org.springframework.web.bind.annotation.RestController;

import io.jsonwebtoken.Claims;
import io.jsonwebtoken.Jwts;

@SpringBootApplication
@RestController
public class JwtApplication {

    private static final String SECRET_KEY = "secretKey";

    // 生成JWT
    @GetMapping("/generateJwt")
    public String generateJwt(@RequestParam String subject) {
        return Jwts.builder()
                .setSubject(subject)
                .setIssuedAt(new Date())
                .setExpiration(new Date(System.currentTimeMillis() + 1000 * 60 * 60 * 10)) // 设置过期时间为10小时
                .signWith(SignatureAlgorithm.HS256, SECRET_KEY)
                .compact();
    }

    // 验证JWT
    @GetMapping("/validateJwt")
    public boolean validateJwt(@RequestParam String jwt) {
        try {
            Jwts.parser().setSigningKey(SECRET_KEY).parseClaimsJws(jwt);
            return true;
        } catch (Exception e) {
            return false;
        }
    }

    public static void main(String[] args) {
        SpringApplication.run(JwtApplication.class, args);
    }
}
  • 1.
  • 2.
  • 3.
  • 4.
  • 5.
  • 6.
  • 7.
  • 8.
  • 9.
  • 10.
  • 11.
  • 12.
  • 13.
  • 14.
  • 15.
  • 16.
  • 17.
  • 18.
  • 19.
  • 20.
  • 21.
  • 22.
  • 23.
  • 24.
  • 25.
  • 26.
  • 27.
  • 28.
  • 29.
  • 30.
  • 31.
  • 32.
  • 33.
  • 34.
  • 35.
  • 36.
  • 37.
  • 38.
  • 39.
  • 40.
  • 41.
  • 42.
  • 43.

在这个Spring Boot应用中，通过generateJwt和validateJwt方法分别提供了生成JWT和验证JWT的接口。

结论

通过本文的介绍，我们详细探讨了如何使用Java实现JWT身份验证与授权。JWT作为一种轻量级的身份验证机制，广泛应用于分布式系统和微服务架构中，能够有效地简化认证流程和提升系统安全性。