jwt学习总结

最新推荐文章于 2024-07-09 09:57:35 发布
最新推荐文章于 2024-07-09 09:57:35 发布
阅读量169 收藏
点赞数 2
分类专栏： 学习 文章标签： jwt java
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/zhangan_/article/details/116278764
版权
本文详细介绍了JWT（JSON Web Token）的工作原理、结构和使用方法，包括如何生成、验证JWT以及在Java环境中使用JWT的示例。此外，还展示了如何在SpringBoot应用中整合JWT，实现用户登录验证，并通过拦截器优化处理流程。
摘要由CSDN通过智能技术生成 
package com.zhangan.utils;

import com.auth0.jwt.JWT;
import com.auth0.jwt.JWTCreator;
import com.auth0.jwt.JWTVerifier;
import com.auth0.jwt.algorithms.Algorithm;
import com.auth0.jwt.interfaces.DecodedJWT;

import java.security.Signature;
import java.util.Calendar;
import java.util.Map;

public class JWTUtils {

    private static final String SIGN = "##@_@##";

    /**
     *
     * 生成token
     * @param map
     * @return
     */
    public static String getToken(Map<String, String> map) {
        Calendar instance = Calendar.getInstance();
        instance.add(Calendar.DATE, 7);

        //创建jwt   builder
        JWTCreator.Builder builder = JWT.create();

        //payload
        map.forEach((k, v) -> {
            builder.withClaim(k, v);
        });

        String token = builder.withExpiresAt(instance.getTime())//指定过期时间
                .sign(Algorithm.HMAC256(SIGN));//签名

        return token;
    }

    /**
     *
     * 验证token 合法性
     * @param token
     */
    public static DecodedJWT verify(String token){
        return JWT.require(Algorithm.HMAC256(SIGN)).build().verify(token);
    }

//    /**
//     *
//     * 获取token信息
//     * @param token
//     * @return
//     */
//    public static DecodedJWT getTokenInfo(String token){
//        DecodedJWT verify = JWT.require(Algorithm.HMAC256(SIGN)).build().verify(token);
//        return verify;
//    }
}

JWT！！！！

官网 https://jwt.io/

JWT简称JSON Web Token,也就是通过JSON形式作为Web应用中的令牌,用于在各方之间安全地将信息作为JSON对象传输。在数据传输过程中还可以完成数据加密、签名等相关处理。

基于JWT认证

优点

  • 简洁(Compact):可以通过URL，POST参数或者在HTTP header发送，因为数据量小，传输速度也很快
  • 自包含(Self-contained):负载中包含了所有用户所需要的信息，避免了多次查询数据库
  • 因为Token是以JSON加密的形式保存在客户端的，所以JWT是跨语言的，原则上任何web形式都支持。
  • 不需要在服务端保存会话信息,特别适用于分布式微服务。

JWT的结构

1.令牌组成

  • 标头(Header)

  • 有效载荷(Payload)

  • 签名(Signature)

因此，JWT通常如下所示:xxxxx.yyyyy.zzzzz Header .Payload.Signature

2.Header
标头通常由两部分组成:令牌的类型(即JWT）和所使用的签名算法，例如HMAC SHA256或RSA。它会使用Base64编码组成JWT结构的第一部分。
注意:Base64是一种编码，也就是说，它是可以被翻译回原来的样子来的。它并不是一种加密过程。

3.Pay load
令牌的第二部分是有效负载，其中包含声明。声明是有关实体（通常是用户）和其他数据的声明。同样的，它会使用Base64编码组成JWT结构的第二部分

4.Signature
前面两部分都是使用Base64进行编码的，即前端可以解开知道里面的信息。Signature需要使用编码后的 header和 payload以及我们提供的一个密钥，然后使用header 中指定的签名算法(HS256)进行签名。签名的作用是保证JWT没有被篡改过
如: HMACSHA256(base64UrlEncode(header) + “.” + base64UrlEncode(payload) , secret) ;

使用JWT

JAVA环境使用

  1. 引入依赖

          <!--引入 JWT-->
    <dependency>
      <groupId>com.auth0</groupId>
      <artifactId>java-jwt</artifactId>
      <version>3.4.0</version>
    </dependency>

  2. 生成token

            Calendar instance = Calendar.getInstance();
        instance.add(Calendar.SECOND,30);
        
        String token = JWT.create()
                .withClaim("userID", 18)//payload
                .withClaim("username", "zhangan")
                .withExpiresAt(instance.getTime())//指定过期时间
                .sign(Algorithm.HMAC256("##@_@##"));//签名
        
        System.out.println(token);

//结果
eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJleHAiOjE2MDYxMTM3NjIsInVzZXJJRCI6MTgsInVzZXJuYW1lIjoiemhhbmdhbiJ9.5GQ9zuHQKnzW-WEQ5oKr1zJQZxSwnBSnKsGUiQGZHu4

  3. 根据令牌和签名解析数据

    public void testRequire() {
        JWTVerifier jwtVerifier = JWT.require(Algorithm.HMAC256("##@_@##")).build();

        DecodedJWT verify = jwtVerifier.verify("eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJleHAiOjE2MDYxMTM3NjIsInVzZXJJRCI6MTgsInVzZXJuYW1lIjoiemhhbmdhbiJ9.5GQ9zuHQKnzW-WEQ5oKr1zJQZxSwnBSnKsGUiQGZHu4");

        System.out.println(verify.getClaim("userId").asInt());
        System.out.println(verify.getClaim("username").asString());
        System.out.println(verify.getExpiresAt());
    }

  4. 常见的异常信息

    • SignatureVerificationException : 签名不一致异常
    • TokenExpiredException: 令牌过期异常
    • AlgorithmMismatchException : 算法不匹配异常
    • InvalidClaimException: 失效的payload异常

封装工具类

package com.zhangan.utils;

import com.auth0.jwt.JWT;
import com.auth0.jwt.JWTCreator;
import com.auth0.jwt.JWTVerifier;
import com.auth0.jwt.algorithms.Algorithm;
import com.auth0.jwt.interfaces.DecodedJWT;

import java.security.Signature;
import java.util.Calendar;
import java.util.Map;

public class JWTUtils {

    private static final String SIGN = "##@_@##";

    /**
     *
     * 生成token
     * @param map
     * @return
     */
    public static String getToken(Map<String, String> map) {
        Calendar instance = Calendar.getInstance();
        instance.add(Calendar.DATE, 7);

        //创建jwt   builder
        JWTCreator.Builder builder = JWT.create();

        //payload
        map.forEach((k, v) -> {
            builder.withClaim(k, v);
        });
        
        String token = builder.withExpiresAt(instance.getTime())//指定过期时间
                .sign(Algorithm.HMAC256(SIGN));//签名

        return token;
    }

    /**
     *
     * 验证token 合法性
     * @param token
     */
    public static void verify(String token){
        JWT.require(Algorithm.HMAC256(SIGN)).build().verify(token);
    }
    
    /**
     *
     * 获取token信息
     * @param token
     * @return
     */
    public static DecodedJWT getTokenInfo(String token){
        DecodedJWT verify = JWT.require(Algorithm.HMAC256(SIGN)).build().verify(token);
        return verify;
    }
}

整合springboot

  1. 搭建环境
            <dependency>
                <groupId>org.mybatis.spring.boot</groupId>
                <artifactId>mybatis-spring-boot-starter</artifactId>
                <version>2.1.3</version>
            </dependency>

            <dependency>
                <groupId>org.projectlombok</groupId>
                <artifactId>lombok</artifactId>
                <version>1.18.12</version>
            </dependency>

            <dependency>
                <groupId>com.alibaba</groupId>
                <artifactId>druid</artifactId>
                <version>1.1.16</version>
            </dependency>

            <dependency>
                <groupId>mysql</groupId>
                <artifactId>mysql-connector-java</artifactId>
                <version>8.0.19</version>
            </dependency>

            <dependency>
                <groupId>com.auth0</groupId>
                <artifactId>java-jwt</artifactId>
                <version>3.4.0</version>
            </dependency>
  1. 配置yml
server:
  port: 8080

spring:
  datasource:
    type: com.alibaba.druid.pool.DruidDataSource
    driver-class-name: com.mysql.cj.jdbc.Driver
    url: jdbc:mysql://localhost:3306/jwt?useUnicode=true&characterEncoding=UTF-8&useSSL=false&serverTimezone=UTC
    username: root
    password: za0813!


mybatis:
  type-aliases-package: com.zhangan.entity
  mapper-locations: classpath:mapper/*.xml


logging:
  level:
    com.zhangan.dao: debug

实现接口

package com.zhangan.controller;

import com.auth0.jwt.exceptions.AlgorithmMismatchException;
import com.auth0.jwt.exceptions.InvalidClaimException;
import com.auth0.jwt.exceptions.SignatureVerificationException;
import com.auth0.jwt.exceptions.TokenExpiredException;
import com.auth0.jwt.interfaces.DecodedJWT;
import com.zhangan.entity.User;
import com.zhangan.service.UserService;
import com.zhangan.utils.JWTUtils;
import lombok.extern.slf4j.Slf4j;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.stereotype.Controller;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.PostMapping;
import org.springframework.web.bind.annotation.RestController;

import java.util.HashMap;
import java.util.Map;

@RestController
@Slf4j
public class UserController {

    @Autowired
    private UserService userService;

    @GetMapping("/user/login")
    public Map<String, Object> login(User user) {
        log.info("用户名：[{}]", user.getName());
        log.info("密码：[{}]", user.getPassword());

        Map<String, Object> map = new HashMap<>();

        try {
            User userDB = userService.login(user);

            Map<String, String> payload = new HashMap<>();
            payload.put("id", userDB.getId());
            payload.put("name", userDB.getName());

            //生成JWT令牌
            String token = JWTUtils.getToken(payload);

            map.put("state", true);
            map.put("msg", "认证成功");
            map.put("token", token);
        } catch (Exception e) {
            map.put("state", false);
            map.put("msg", e.getMessage());

        }
        return map;

    }

    @PostMapping("/user/test")
    public Map<String, Object> test(String token) {
        Map<String, Object> map = new HashMap<>();
        log.info("当前token为：[{}]", token);

        try {
            DecodedJWT verify = JWTUtils.verify(token);
            map.put("state", true);
            map.put("msg", "请求成功");

            return map;
        } catch (SignatureVerificationException e) {
            e.printStackTrace();
            map.put("msg", "无效签名");
        } catch (TokenExpiredException e) {
            e.printStackTrace();
            map.put("msg", "token过期");
        } catch (AlgorithmMismatchException e) {
            e.printStackTrace();
            map.put("msg", "token算法不一致");
        } catch (InvalidClaimException e) {
            e.printStackTrace();
            map.put("msg", "token无效");
        }

        map.put("state", false);
        return map;
    }
}

代码优化

写到拦截器里

package com.zhangan.intercreptors;

import com.auth0.jwt.exceptions.AlgorithmMismatchException;
import com.auth0.jwt.exceptions.InvalidClaimException;
import com.auth0.jwt.exceptions.SignatureVerificationException;
import com.auth0.jwt.exceptions.TokenExpiredException;
import com.auth0.jwt.interfaces.DecodedJWT;
import com.fasterxml.jackson.databind.ObjectMapper;
import com.zhangan.utils.JWTUtils;
import org.springframework.web.servlet.HandlerInterceptor;

import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.util.HashMap;
import java.util.Map;

public class JWTIntercepter implements HandlerInterceptor {

    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        Map<String, Object> map = new HashMap<>();
        //获取请求头中的令牌
        String token = request.getHeader("token");

        try {
            DecodedJWT verify = JWTUtils.verify(token);
//            map.put("state", true);
//            map.put("msg", "请求成功");
            return true;
        } catch (SignatureVerificationException e) {
            e.printStackTrace();
            map.put("msg", "无效签名");
        } catch (TokenExpiredException e) {
            e.printStackTrace();
            map.put("msg", "token过期");
        } catch (AlgorithmMismatchException e) {
            e.printStackTrace();
            map.put("msg", "token算法不一致");
        } catch (InvalidClaimException e) {
            e.printStackTrace();
            map.put("msg", "token无效");
        }
        map.put("state", false);//设置状态
        //将map转为json
        String json = new ObjectMapper().writeValueAsString(map);
        response.setContentType("application/json;charset=UTF-8");
        response.getWriter().println(json);//发送到前端

        return false;
    }
}

配置拦截与放行

package com.zhangan.config;

import com.zhangan.intercreptors.JWTInterceptor;
import org.springframework.context.annotation.Configuration;
import org.springframework.web.servlet.config.annotation.InterceptorRegistry;
import org.springframework.web.servlet.config.annotation.WebMvcConfigurer;

@Configuration
public class InterceptorConfig implements WebMvcConfigurer {

    @Override
    public void addInterceptors(InterceptorRegistry registry) {
        registry.addInterceptor(new JWTInterceptor())
                .addPathPatterns("/user/test")//拦截
                .excludePathPatterns("/user/login");//放行

    }
}

controller里就可以简单处理

    @PostMapping("/user/test")
    public Map<String, Object> test() {

        Map<String, Object> map = new HashMap<>();
        map.put("state", true);
        map.put("msg","请求成功！");

        return map;
    }
zhang'an
关注
  • 2
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
JWT学习1
08-08
总结一下，JWT通过其独特的结构和签名机制，为Web应用提供了安全的身份验证和信息传输方式。开发者可以根据需要自定义JWT的声明，设置过期时间，并利用像JJWT这样的库来简化JWT的处理。了解和掌握JWT的基本原理和...
JWT学习笔记1
08-03
在IT行业中，用户身份认证是一个至关重要的环节，确保只有授权...总结，JWT作为一种现代的认证机制，因其轻量级、安全和可扩展的特性，被广泛应用于Web应用和API的身份验证中，极大地提升了系统的可维护性和用户体验。
详解JWT token心得与使用实例
10-16
主要介绍了详解JWT token心得与使用实例，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧
JWT总结
Jancy2265的博客
08-27 359
JWT 官方文档：https://jwt.io/introduction 简介：JWT是一种开放标准(RFC 7519) ，它定义了一种紧凑和自包含的方式，用于作为 JSON 对象在各方之间安全地传输信息。可以验证和信任此信息，因为它是数字签名的。JWT签名(Signature)可以使用 secret (使用 HMAC 算法)或使用 RSA 或 ECDSA 的公钥/私钥对进行签名。 JWT结构：三大部分字符串，header和payload串是Json对象通过Base64 URL算法加密生成，字符
Java实现JWT认证的完整指南：如何从零开始构建安全认证系统
最新发布
weixin_46372265的博客
07-09 373
JWT是一种基于JSON的开放标准，用于在各方之间作为JSON对象安全地传输信息。它特别适合于在无状态环境中（如RESTful API）进行身份验证和信息交换。通过以上步骤，我们成功地在Java中实现了基于JWT的身份认证系统。这个系统具有高度的安全性和扩展性，适用于各种需要身份认证的应用场景。希望这篇文章对大家有所帮助，如果你觉得这篇文章对你有所帮助，欢迎关注我的博客。未来，我会继续分享更多关于Java开发的干货。让我们一起在技术的道路上不断探索，勇往直前！
JWT简单总结
Dlaolao的博客
08-05 146
一、JWT简介： JWT ：json web token 官网：jwt.io jwt的结构： [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-shVV3NMR-1628146089193)(C:\Users\dalaolao\Desktop\java\笔记\1627888041132.png)] 二、生成jwt ①添加依赖 <dependency> <groupId>com.auth0</groupId>
JWTDemo.zip
06-30
总结来说，`JWTDemo.zip`是一个.NET Core API的示例项目，它的目标是展示JWT在实际应用中的实现，帮助初学者理解JWT的工作原理以及如何在.NET Core API中应用JWT进行身份验证和授权。通过深入学习和实践这个项目，...
JWT实例demo
02-01
总结来说，这个"JWT实例demo"是为了帮助开发者了解和实践JWT在实际应用中的部署，包括创建、验证JWT，以及使用过滤器进行安全控制。通过"TextJWT"的测试实例和"SecurityCommDemo-master"的代码，你可以深入学习JWT的...
JWT Token生成及验证(源码)
04-12
JWT（JSON Web Tokens）是一种轻量级的身份验证和授权机制，广泛...总结来说，这个压缩包包含了一个关于JWT Token生成和验证的示例项目，你可以通过研究代码来学习如何在实际应用中安全地使用JWT进行身份验证和授权。
JwtUtil.java
04-14
主要用于单点登录，基于Jwt生成Token的工具类，包括生成和解析Token，JWT token的格式主要为header.payload.signature
JWT使用总结
weixin_33912246的博客
05-07 167
2019独角兽企业重金招聘Python工程师标准>>> ...
菜鸟的JWT学习总结
最强菜鸟
08-19 910
菜鸟的JWT学习总结说明一、什么是JWT二、JWT的组成（1）Header（2）Payload（3）Signature三、JJWT四、登录接口实战 说明 更新时间：2020/8/2 17:32，更新了@SpringBootApplication等注解 本文主要对JWT的学习总结，本文会持续更新，不断地扩充 本文仅为记录学习轨迹，如有侵权,联系删除 一、什么是JWT JWT全称是JSON Web Token，是目前最流行的跨域认证解决方案，常用于web项目的token校验，用户校验，权限校验等，也可以用于信息
JWT学习
开心就好的专栏
03-15 423
基本概念 jwt: JSON Web Token, 原则是在服务器身份验证之后，将生成一个JSON对象并将其发送回用户， 比如生成这样的结构: { "userName": "test", "role": "Admin", "expire": 1584271948 } 之后，当用户与服务器通信时，客户在每次请求时都要带上这个JSON对象。服务器仅依赖于这个JSON对象来标识...
JWT概念学习
我有满天星辰的博客
05-13 507
JWT 全称 JSON Web Tokens ，是一个非常轻巧的规范。这个规范允许我们使用 JWT 在用户和服务器之间传递安全可靠的信息。它的两大使用场景是：认证和数据交换。 1.什么是JSON Web令牌？ JSON Web令牌（JWT）是一个开放标准（RFC 7519），它定义了一种紧凑且自包含的方式，用于在各方之间作为JSON对象安全地传输信息。由于此信息是经过数字签名的，因此可以被验证和信任。可以使用秘密（使用HMAC算法）或使用RSA或ECDSA的公钥/私钥对对JWT进行签名。 尽管可以对J.
JWT 异常处理
xgs736214763的博客
10-12 1349
原文地址https://www.xiegaosheng.com/post/view?id=125
ctfshow web入门 JWT
Anton1a的博客
02-24 4296
web345 打开题目先F12看一下源码发现一个admin目录，然后抓包看见cookie里面有jwt 然后将jwt进行base64解密，然后将解码后的user换成admin 再进行base64加密，然后抓包访问admin目录，之后将刚才生成的jwt，替换cookie里的jwt然后发包拿到flag 这里只需要注意访问的是/admin/而不是/admin因为访问/admin表示访问admin.php而访问/admin/表示访问的是admin目录下默认的index.php web346 这.
什么是JWT及在JAVA中如何使用？
一切总会归于平淡
10-24 4204
JSON Web token简称JWT， 是用于对应用程序上的用户进行身份验证的标记。 也就是说, 使用 JWTS 的应用程序不再需要保存有关其用户的 cookie 或其他session数据。 此特性便于可伸缩性, 同时保证应用程序的安全
JWT身份认证机制原理与实现
JWT学习笔记 背景了解户身份认证的种式，主要有两种：Session验证和Token验证。 **Session验证** Session验证是传统的身份认证方式。其流程如下： 1. 客户端使用用户名和密码请求登录。 2. 服务端接收请求，验证...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值