基于JWT的token认证实现#

JWT（JSON Web Token）就是基于token认证的代表，这边就用JWT为列来介绍基于token的认证机制。

需要引入JWT的依赖

Copy

com.auth0
java-jwt
3.8.2

生成token和验证token的工具类如下：

Copy
public class JWTTokenUtil {
//设置过期时间
private static final long EXPIRE_DATE=3060100000;
//token秘钥
private static final String TOKEN_SECRET = “ZCfasfhuaUUHufguGuwu2020BQWE”;

public static String token (String username,String password){

    String token = "";
    try {
        //过期时间
        Date date = new Date(System.currentTimeMillis()+EXPIRE_DATE);
        //秘钥及加密算法
        Algorithm algorithm = Algorithm.HMAC256(TOKEN_SECRET);
        //设置头部信息
        Map<String,Object> header = new HashMap<>();
        header.put("typ","JWT");
        header.put("alg","HS256");
        //携带username，password信息，生成签名
        token = JWT.create()
                .withHeader(header)
                .withClaim("username",username)
                .withClaim("password",password).withExpiresAt(date)
                .sign(algorithm);
    }catch (Exception e){
        e.printStackTrace();
        return  null;
    }
    return token;
}

public static boolean verify(String token){
    /**
     * @desc   验证token，通过返回true
     * @params [token]需要校验的串
     **/
    try {
        Algorithm algorithm = Algorithm.HMAC256(TOKEN_SECRET);
        JWTVerifier verifier = JWT.require(algorithm).build();
        DecodedJWT jwt = verifier.verify(token);
        return true;
    }catch (Exception e){
        e.printStackTrace();
        return  false;
    }
}
public static void main(String[] args) {
    String username ="name1";
    String password = "pw1";
    //注意，一般不会把密码等私密信息放在payload中，这边只是举个列子
    String token = token(username,password);
    System.out.println(token);
    boolean b = verify(token);
    System.out.println(b);
}

}
执行结果如下：

Copy
Connected to the target VM, address: ‘127.0.0.1:11838’, transport: ‘socket’
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJwYXNzd29yZCI6IjEyMyIsImV4cCI6MTU5NzM5Nzc0OCwidXNlcm5hbWUiOiJ6aGFuZ3NhbiJ9.LI5S_nX-YcqtExI9UtKiP8FPqpQW_ccaws2coLzyOS0
true
关于DecodedJWT这个类，大家可以重点看下，里面包含了解码后的用户信息。

JWT的使用说明#
客户端收到服务器返回的 JWT，可以储存在 Cookie 里面，也可以储存在 localStorage。

此后，客户端每次与服务器通信，都要带上这个 JWT。你可以把它放在 Cookie 里面自动发送，但是这样不能跨域，所以更好的做法是放在 HTTP 请求的头信息Authorization字段里面。

Copy
Authorization: Bearer
另一种做法是，跨域的时候，JWT 就放在 POST 请求的数据体里面。

JWT 本身包含了认证信息，一旦泄露，任何人都可以获得该令牌的所有权限。为了减少盗用，JWT 的有效期应该设置得比较短。对于一些比较重要的权限，使用时应该再次对用户进行认证。

为了减少盗用，JWT 不应该使用 HTTP 协议明码传输，要使用 HTTPS 协议传输。（或者是对JWT在前后端之间进行加密之后在传输）

关于JWT的一个问题#
上面生成JWT token的过程关键点就是密钥，假如这个密钥泄露了，那是不是就可以伪造token了。

还有就是生产环境的密钥值，开发的程序员大概率是知道的，怎么防止程序要监守自盗，伪造token值呢？希望有经验的大佬指教下。

Copy
//token秘钥
private static final String TOKEN_SECRET = “ZCfasfhuaUUHufguGuwu2020BQWE”;
深圳网站建设www.sz886.com