JWT笔记

一.JWT介绍

全称JSON Web Token，是一种用于在网络应用之间安全传递信息的开放标准，通常用于身份验证和非敏感数据的传递，设计的主要目的是不需要服务器端存储状态，安全地传递非敏感信息

二.JWT组成

jwt构成依次为 头部（header），载荷（payload），签名（signature）

例如下面的jwt由两个点分为三部分，依次是头部，载荷，签名

eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJhdWQiOiIzMiIsImV4cCI6MTcxNTA4NzQ1NH0.ewsyYLRbS8U4-pBSAUm6Z5bMb4XrCzRtYgG-vzrlq40

通常我们看到的JWT头部和载荷部分是经过Base64编码处理的。Base64编码是一种将二进制数据转换为可打印字符的编码方式，这样可以确保数据在传输过程中不会丢失或被篡改。在JWT中，Base64编码后的头部和载荷部分通常被用于在客户端和服务器之间传递信息，而签名部分则是使用密钥对头部和载荷进行加密得到的。

头部：由两部分组成，第一个是令牌类型。一般是JWT
第二个则是所使用的签名算法。比如HMACSHA256算法或者RSA

{

  "alg": "HS256",

  "typ": "JWT"

}

载荷：包含声明，

标准声明：该开放标准预先定义的一些字段

公共声明：是自定义的声明，用于在特定应用程序中共享信息

私有声明：用于在同意双方之间共享信息，通常不会被jwt规范定义，而是由应用程序自行定义和使用，例如实体类的信息

{

  "usename": "zhangsan",

  "admin": true

}

签名：

是使用密钥对头部和载荷进行加密后得到的，虽然Base64编码可以将二进制数据转换为可打印字符，但它并不是加密算法，因此并不能保护数据的机密性。在JWT中，签名部分才是用来验证JWT的真实性和完整性的关键，密钥的保密性和签名算法的选择会直接影响JWT的安全性。

三.JWT示例

springboot和jwt集成示例

1.导入依赖

 <dependency>
            <groupId>com.auth0</groupId>
            <artifactId>java-jwt</artifactId>
            <version>3.10.3</version>
        </dependency>

2.Token生成

public class TokenUtils {
    /**
     * 生成token
     * @return
     */
    public static String genToken(String userId,String sign){
            return JWT.create().withAudience(userId) // 将 user id 保存到 token 里面
                .withExpiresAt(DateUtil.offsetHour(new Date(),2)) //2小时后token过期
                .sign(Algorithm.HMAC256(sign)); // 以 password 作为 token 的密钥


    }

3.拦截器拦截token

package com.wwf.demo.config.interceptor;

import cn.hutool.core.util.StrUtil;
import com.auth0.jwt.JWT;
import com.auth0.jwt.JWTVerifier;
import com.auth0.jwt.algorithms.Algorithm;
import com.auth0.jwt.exceptions.JWTDecodeException;
import com.auth0.jwt.exceptions.JWTVerificationException;
import com.wwf.demo.common.Constants;
import com.wwf.demo.entity.User;
import com.wwf.demo.exception.ServiceException;
import com.wwf.demo.service.IUserService;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.stereotype.Component;
import org.springframework.web.method.HandlerMethod;
import org.springframework.web.servlet.HandlerInterceptor;

import javax.annotation.Resource;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;

/**
 * 拦截器
 */

public class JwtInterceptor implements HandlerInterceptor {
    @Autowired
    private IUserService userService;
    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        String token = request.getHeader("token");
        //如果不是映射到方法直接通过
        if (!(handler instanceof HandlerMethod)){
            return true;
        }
        //执行认证
        if (StrUtil.isBlank(token)){
            throw new ServiceException(Constants.CODE_401,"无token，请重新登录");
        }
        //获取token中的user id
        String userId;
        try{
            userId= JWT.decode(token).getAudience().get(0);
        }catch (JWTDecodeException j){
            throw new ServiceException(Constants.CODE_401,"token验证失败");
        }
        //根据token中的userid查询数据库，
        User user=userService.getById(userId);
        if (user==null){
            throw new ServiceException(Constants.CODE_401,"用户不存在，请重新登录");
        }
        //用户密码加签验证token
        JWTVerifier jwtVerifier=JWT.require(Algorithm.HMAC256(user.getPassword())).build();
        try{
            jwtVerifier.verify(token);
        }catch (JWTVerificationException e){
            throw new ServiceException(Constants.CODE_401,"token验证失败，请重新登录");
        }
        return true;
    }
}

4.注册拦截器

package com.wwf.demo.config;

import com.wwf.demo.config.interceptor.JwtInterceptor;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.web.servlet.config.annotation.InterceptorRegistry;
import org.springframework.web.servlet.config.annotation.WebMvcConfigurer;
@Configuration
public class InterceptorConfig implements WebMvcConfigurer {
    @Override
    public void addInterceptors(InterceptorRegistry registry) {

        registry.addInterceptor( jwtInterceptor())
                .addPathPatterns("/**")    // 拦截所有请求，通过判断token是否合法来决定是否需要登录
                .excludePathPatterns("/user/login","/user/register","/**/export");//放行的接口

    }
    @Bean
    public JwtInterceptor jwtInterceptor(){
        return new JwtInterceptor();
    }
}

5.登录方法

 public UserDto login(UserDto userDto) {
        User one = getuserInfo(userDto);

        if (one !=null){
            BeanUtil.copyProperties(one,userDto,true);
            //设置token
            String token = TokenUtils.genToken(one.getId().toString(), one.getPassword());
            userDto.setToken(token);
            return userDto;
        }else {
            throw new  ServiceException(Constants.CODE_600,"用户名或密码错误");
        }
    }