使用JWT生成token

最新推荐文章于 2024-09-06 19:26:10 发布
最新推荐文章于 2024-09-06 19:26:10 发布
阅读量1.3w 收藏 57
点赞数 11
分类专栏： java 文章标签： JWT
原文链接：http://www.atguigu.com
版权

一、使用JWT进行身份验证

1、传统用户身份验证

Internet服务无法与用户身份验证分开。一般过程如下：

  1. 用户向服务器发送用户名和密码。
  2. 验证服务器后，相关数据（如用户角色，登录时间等）将保存在当前会话中。
  3. 服务器向用户返回session_id，session信息都会写入到用户的Cookie。
  4. 用户的每个后续请求都将通过在Cookie中取出session_id传给服务器。
  5. 服务器收到session_id并对比之前保存的数据，确认用户的身份。

这种模式最大的问题是，没有分布式架构，无法支持横向扩展。

2、解决方案

  1. session广播
  2. 将透明令牌存入cookie，将用户身份信息存入redis

另外一种灵活的解决方案：

使用自包含令牌，通过客户端保存数据，而服务器不保存会话数据。 JWT是这种解决方案的代表。

二、JWT令牌

1、访问令牌的类型

2、JWT的组成

典型的，一个JWT看起来如下图：

该对象为一个很长的字符串，字符之间通过"."分隔符分为三个子串。

每一个子串表示了一个功能块，总共有以下三个部分：JWT头、有效载荷和签名

JWT头

JWT头部分是一个描述JWT元数据的JSON对象，通常如下所示。

{

"alg": "HS256",

"typ": "JWT"

}

在上面的代码中，alg属性表示签名使用的算法，默认为HMAC SHA256（写为HS256）；typ属性表示令牌的类型，JWT令牌统一写为JWT。最后，使用Base64 URL算法将上述JSON对象转换为字符串保存。

有效载荷

有效载荷部分，是JWT的主体内容部分，也是一个JSON对象，包含需要传递的数据。 JWT指定七个默认字段供选择。

iss：发行人

exp：到期时间

sub：主题

aud：用户

nbf：在此之前不可用

iat：发布时间

jti：JWT ID用于标识该JWT

除以上默认字段外，我们还可以自定义私有字段，如下例：

{

"sub": "1234567890",

"name": "atguigu",

"admin": true

}

请注意，默认情况下JWT是未加密的，任何人都可以解读其内容，因此不要构建隐私信息字段，存放保密信息，以防止信息泄露。

JSON对象也使用Base64 URL算法转换为字符串保存。

签名哈希

签名哈希部分是对上面两部分数据签名，通过指定的算法生成哈希，以确保数据不会被篡改。

首先，需要指定一个密码（secret）。该密码仅仅为保存在服务器中，并且不能向用户公开。然后，使用标头中指定的签名算法（默认情况下为HMAC SHA256）根据以下公式生成签名。

HMACSHA256(base64UrlEncode(header) + "." + base64UrlEncode(claims), secret)

在计算出签名哈希后，JWT头，有效载荷和签名哈希的三个部分组合成一个字符串，每个部分用"."分隔，就构成整个JWT对象。

Base64URL算法

如前所述，JWT头和有效载荷序列化的算法都用到了Base64URL。该算法和常见Base64算法类似，稍有差别。

作为令牌的JWT可以放在URL中（例如api.example/?token=xxx）。 Base64中用的三个字符是"+"，"/"和"="，由于在URL中有特殊含义，因此Base64URL中对他们做了替换："="去掉，"+"用"-"替换，"/"用"_"替换，这就是Base64URL算法。

3、JWT的原则

JWT的原则是在服务器身份验证之后，将生成一个JSON对象并将其发送回用户，如下所示。

{

"sub": "1234567890",

"name": "atguigu",

"admin": true

}

之后，当用户与服务器通信时，客户在请求中发回JSON对象。服务器仅依赖于这个JSON对象来标识用户。为了防止用户篡改数据，服务器将在生成对象时添加签名。

服务器不保存任何会话数据，即服务器变为无状态，使其更容易扩展。

4、JWT的用法

客户端接收服务器返回的JWT，将其存储在Cookie或localStorage中。

此后，客户端将在与服务器交互中都会带JWT。如果将它存储在Cookie中，就可以自动发送，但是不会跨域，因此一般是将它放入HTTP请求的Header Authorization字段中。当跨域时，也可以将JWT被放置于POST请求的数据主体中。

5、JWT问题和趋势

  • JWT不仅可用于认证，还可用于信息交换。善用JWT有助于减少服务器请求数据库的次数。
  • 生产的token可以包含基本信息，比如id、用户昵称、头像等信息，避免再次查库
  • 存储在客户端，不占用服务端的内存资源
  • JWT默认不加密，但可以加密。生成原始令牌后，可以再次对其进行加密。
  • 当JWT未加密时，一些私密数据无法通过JWT传输。
  • JWT的最大缺点是服务器不保存会话状态，所以在使用期间不可能取消令牌或更改令牌的权限。也就是说，一旦JWT签发，在有效期内将会一直有效。
  • JWT本身包含认证信息，token是经过base64编码，所以可以解码，因此token加密前的对象不应该包含敏感信息，一旦信息泄露，任何人都可以获得令牌的所有权限。为了减少盗用，JWT的有效期不宜设置太长。对于某些重要操作，用户在使用时应该每次都进行身份验证。
  • 为了减少盗用和窃取，JWT不建议使用HTTP协议来传输代码，而是使用加密的HTTPS协议进行传输。

三、整合JWT令牌

1、加入jwt工具依赖

创建的mavne项目中的pom中添加

<!-- JWT -->

<dependency>

<groupId>io.jsonwebtoken</groupId>

<artifactId>jjwt</artifactId>

<version>0.7.0</version>

</dependency>

2、创建JWT工具类

项目中的util包中添加

package com.atguigu.util;

import com.atguigu.entity.Member;

import io.jsonwebtoken.Claims;

import io.jsonwebtoken.Jwts;

import io.jsonwebtoken.SignatureAlgorithm;

import org.springframework.util.StringUtils;

import java.util.Date;

/**

* jwt工具类

*/

public class JwtUtils {

public static final String SUBJECT = "guli";

//秘钥

public static final String APPSECRET = "guli";

public static final long EXPIRE = 1000 * 60 * 30; //过期时间，毫秒，30分钟

/**

* 生成jwt token

*

* @param member

* @return

*/

public static String geneJsonWebToken(Member member) {

if (member == null || StringUtils.isEmpty(member.getId())

|| StringUtils.isEmpty(member.getNickname())

|| StringUtils.isEmpty(member.getAvatar())) {

return null;

}

String token = Jwts.builder().setSubject(SUBJECT)

.claim("id", member.getId())

.claim("nickname", member.getNickname())

.claim("avatar", member.getAvatar())

.setIssuedAt(new Date())

.setExpiration(new Date(System.currentTimeMillis() + EXPIRE))

.signWith(SignatureAlgorithm.HS256, APPSECRET).compact();

return token;

}

/**

* 校验jwt token

*

* @param token

* @return

*/

public static Claims checkJWT(String token) {

Claims claims = Jwts.parser().setSigningKey(APPSECRET).parseClaimsJws(token).getBody();

return claims;

}

//测试生成jwt token

private static String testGeneJwt(){

Member member = new Member();

member.setId("999");

member.setAvatar("www.guli.com");

member.setNickname("Helen");

String token = JwtUtils.geneJsonWebToken(member);

System.out.println(token);

return token;

}

//测试校验jwt token

private static void testCheck(String token){

Claims claims = JwtUtils.checkJWT(token);

String nickname = (String)claims.get("nickname");

String avatar = (String)claims.get("avatar");

String id = (String)claims.get("id");

System.out.println(nickname);

System.out.println(avatar);

System.out.println(id);

}

public static void main(String[] args){

String token = testGeneJwt();

testCheck(token);

}

}

3、测试生成token

在测试类中添加如下代码

// 生成token

String token = JwtUtils.geneJsonWebToken(member);

//存入cookie

//CookieUtils.setCookie(request, response, "guli_jwt_token", token);

//因为端口号不同存在蛞蝓问题，cookie不能跨域，所以这里使用url重写

system.out.print("jwt生成的token:"+token)

尚硅谷铁粉
关注
专栏目录
使用JWT生成Token，并实现Token刷新API
Shallow的博客
12-30 6127
一、背景 传统的网站用户认证方式严重依赖于 Cookie 。但 很多 项目是一个前后端分离的项目，我们希望前端界面的实现不受 项目API 的影响，这就要求 用户认证没有 Cookie 时也能进行。其实仔细想想，用户的认证鉴权，无非就是在访问 API 时发送一个能够识别出用户的字符串给服务端，然后服务端基于字符串查找出用户，再判断用户是否有权限使用 API 。这串字符串，我们可以将其称之为 Token。由于 rmon 的所有 API 都是基于 HTTP 协议的，而在 HTTP 协议中有一个 Authoriz
JWT生成Token
风雨过后的博客
01-23 6249
什么是JWT       Json web token（JWT）是为了网络应用环境间传递声明而执行的一种基于JSON的开发标准（RFC 7519），该token被设计为紧凑且安全的，特别适用于分布式站点的单点登陆（SSO）场景。JWT的声明一般被用来在身份提供者和服务提供者间传递被认证的用户身份信息，以便于从资源服务器获取资源，也可以增加一些额外的其它业务逻辑所必须的声明信息，该token也可直...
jwt生成token
热门推荐
爪哇人的博客
11-21 1万+
1 基于传统的session认证 http本身是一种无状态的协议，而这就意味着如果用户向我们的应用提供了用户名和密码来进行用户认证，那么下一次请求时，用户还再一次进行用户认证。因为根据http协议，我们不知道是哪个用户发出的请求，所以为了能让我们应用识别是哪一个用户发出的请求，我们只能在服务器端存储一份用户登录的信息，这份登录信息会在响应时传递给浏览器。告诉其保存为cookie，以便下次请求时发送给我们的应用，这样我们的用户就能识别是哪一个用户了，这就是传统的基于session认证。 当...
JWT生成、解析token
最新发布
BlackPudding_的博客
09-06 546
JWT生成、解析token
【学生管理系统】用户登录校验整合JWT生成token
四季轮换叶，一路招摇胜
10-24 1076
token 是服务端生成的一串字符串，用来作为客户端进行请求的一个令牌。今天讲解的是用户登录校验整合JWT生成token进行身份校验。
JWT 生成Token及验证
01-22
JWT生成token及验证（过期时间）用于前后断分离，及APP认证，可结合redis使用也可单独使用。
利用JWT生成Token
兜兜的博客
11-21 1733
开篇 实现Token的方式有很多，本篇介绍的是利用Json Web Token(JWT)生成的Token.JWT生成的Token有什么好处呢？ 安全性比较高，加上密匙加密而且支持多种算法。 携带的信息是自定义的，而且可以做到验证token是否过期。 验证信息可以由前端保存，后端不需要为保存token消耗内存。 本篇分3部分进行讲解。 什么是JWT JWT的代码实现，代码将JWT封...
Token生成方案-JWT
奇遇少年
01-17 3035
JWT的使用简化了用户身份验证的流程，使得开发者能够在Web应用中轻松实现高效的身份认证和信息传递。
JWT Token生成
weixin_45805672的博客
09-01 5758
Jwt token生成的方式有几种，可根据具体情况决定生成方式，以下为本人使用的一种，仅供参考。 官网地址：https://jwt.io/introduction 1.jwt生成的Token格式 eyJhbGciOiJIUzI1NiJ9.eyJqd3RDbGFpbSI6eyJ1c2VySWQiOiIyIiwiYXBpSWRzIjoiMSwyLDMiLCJuYW1lIjpudWxsfSwiaWF0IjoxNjMwNDg3MjA5LCJleHAiOjE2MzA0OTQ0MDl9.apV5AqF6tgeV
Java中使用JWT生成Token进行接口鉴权实现方法
08-25
Java中使用JWT生成Token进行接口鉴权实现方法 Java中使用JWT生成Token进行接口鉴权实现方法是当前最流行的鉴权方式之一。通过本文，读者可以了解到使用JWT生成Token进行接口鉴权的详细实现方法。 什么是JWT？ JWT...
laravel框架使用JWT生成token
DuDuKuan的博客
12-22 1686
1.下载扩展 composer require firebase/php-jwt 2. 封装生成TOKEN，解密TOKEN的方法 USE 引入刚刚下载的类 use Firebase\JWT\JWT; 封装 //生成TOKEN public function getToken($user_id) { $key = 'xiaofu'; $token = array( "iss"=>$key, //签..
JWT Token生成及验证
02-11
http://www.cnblogs.com/chenwolong/p/Token.htmlhttp://www.cnblogs.com/chenwolong/p/Token.htmlhttp://www.cnblogs.com/chenwolong/p/Token.htmlhttp://www.cnblogs.com/chenwolong/p/Token.html
laravel8 使用JWT生成token
沉默的熊猫的博客
11-05 999
1.安装composer composer require lcobucci/jwt 3.3 2.自己封装或者在controller生成Base控制器 <?php namespace App\Http\Controllers\User; use App\Http\Controllers\Controller; use Illuminate\Http\Request; use Lcobucci\JWT\Builder; use Lcobucci\JWT\Parser; use Lcob
使用jwt生成token
qq_36928715的博客
07-02 428
<!-- jwt相关依赖--> <dependency> <groupId>com.nimbusds</groupId> <artifactId>nimbus-jose-jwt</artifactId> <version...
JWT生成token
ywn0601的博客
12-02 3895
token是什么？ 答：token就是一段字符串，由三部分组成(头部(header),荷载(payload,签名(sign))) 头部： 是token的最基本信息，包含类型和用的算法。比如 { "type":"JWT", "alg":"HS256" } 荷载/载荷： 是核心，自定义的数据，一般是用户id，过期时间等 { "uid":"XXXXid", "exp":"122223" } 签名： 就是头部和荷载base64加密后用.连接起来的，然后形成xx.xx的前两段token, 最后一段是用前两
JWT-生成token
m0_69128892的博客
05-11 7161
一、什么是JWT JWT 即Json Web Token，将用户登录态以及数据用加密的json格式存储在客户端，服务端可以完全依靠这个字符串认定用户身份。简单来说，这是一种用户身份认证的解决方案。 二、JWT的组成 一个JWT实际上就是一个字符串，由三部分组成分别是： header（头部） payload（载荷） signature（签名） 结构如下：header.payload.signature 1.header（头部） header（头部）的信息指定了其Token类型和所使用的加密算法。 示例：
JWT应用功能
SurepMan的博客
08-03 283
服务端不保存任何客户端请求者信息客户端的每次请求必须具备自描述信息，通过这些信息识别客户端身份带来的好处是什么呢？客户端请求不依赖服务端的信息，任何多次请求不需要必须访问到同一台服务服务端的集群和状态对客户端透明服务端可以任意的迁移和伸缩减小服务端存储压力JWT全称是Json Web Token， 是JSON风格轻量级的授权和身份认证规范，可实现无状态、分布式的Web应用授权；官网：https://jwt.ioJWT包含三部分数据：声明类型，这里是JWT 自描述信息。
如何使用jwt生成token
08-18
使用jwt生成token的方法如下： 1. 导入jwt库：首先，需要导入jwt库以便使用其中的相关方法。 2. 定义payload：根据需要，在生成token之前定义一个payload，即包含token中的一些信息，例如用户ID、过期时间等。 3. 设置密钥：生成token所使用的密钥是保证token的安全性的关键。你需要设置一个密钥，可以是一个随机字符串。 4. 调用jwt库的generate_token方法：使用jwt库中的generate_token方法，传入payload和密钥，即可生成token。 下面是一个示例代码： ```python import jwt def generate_token(payload, secret_key): token = jwt.encode(payload, secret_key) return token # 示例用法 payload = {'user_id': 1, 'exp': 3600} # 设置用户ID和过期时间（单位：秒） secret_key = 'my_secret_key' # 设置密钥 token = generate_token(payload, secret_key) ``` 在示例代码中，我们定义了一个generate_token函数，它接受payload和密钥作为参数，并使用jwt库中的encode方法生成token。注意，生成的token是一个字符串。 请注意，这只是一个简单的示例代码，实际应用中可能需要更多的逻辑来处理用户认证和授权等问题。具体使用jwt生成token的方式可能会因不同的框架或库而略有不同，你可以根据你所使用的具体情况进行适当的调整。<span class="em">1</span><span class="em">2</span><span class="em">3</span> #### 引用[.reference_title] - *1* *2* *3* [使用JWT生成Token，并实现Token刷新API](https://blog.csdn.net/xili2532/article/details/122218117)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v93^chatsearchT3_1"}}] [.reference_item style="max-width: 100%"] [ .reference_list ]
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值