JAVA-JWT

JWT簡介??

????????JSON Web Token（JWT）是一個非常輕巧的規范，這個規范允許我們使用 JWT 在用戶和服務器之間傳遞安全可靠的信息。一個 JWT 實際上就是一個字符串，它由三部分組成，頭部、載荷與簽名。前兩部分需要經過 Base64 編碼，后一部分通過前兩部分 Base64 編碼后再加密而成。

????????JWT組成:Header + Payload + Signature

????????Header:頭部用于描述關于該 JWT 的最基本的信息，例如其類型以及簽名所用的算法等，如{"type":"JWT","alg":"HS256"}，Base64 加密header后的字符串為（JWT官網JSON Web Tokens - jwt.io 可以驗證）：eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9

????????Payload：一般添加用戶的相關信息或其他業務需要的必要信息，但不建議添加敏感信息，因為該部分在客戶端可解密。如：{"id":"1","name":"張三","sex":"male"}，Base64 加密Payload后的字符串為（JWT官網可以驗證）：eyJpZCI6IjEiLCJuYW1lIjoi5byg5LiJIiwic2V4IjoibWFsZSJ9

????????Signature：這個部分需要 Base64 加密后的 header 和 Base64 加密后的 payload 使用 “.” 連接組成的字符串，然后通過 header 中聲明的加密方式進行加鹽 salt組合加密，然后就構成了 jwt 的第三部分。如：salt設置為abc，Signature字符串為：mZKsezNd5e5Q0Gi4vdeyEH3-ilxG_qEHkZp0gn7ayr0

????????綜上，公式如下：

????????Token = Base64(Header).Base64(Payload).Base64(Signature)

????????Signature = Header指定的簽名算法(Base64(header).Base64(payload),秘鑰)

????????生成后的token信息為：eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpZCI6IjEiLCJuYW1lIjoi5byg5LiJIiwic2V4IjoibWFsZSJ9.mZKsezNd5e5Q0Gi4vdeyEH3-ilxG_qEHkZp0gn7ayr0

JWT應用

? ? ? ? 在分布式環境下，有狀態（含session）可以采用分布式session解決方案，參考：分布式session解決方案-CSDN博客，無狀態token+redis也可以實現分布式token驗證校驗，spring-session和token+redis 都借助了redis，如果實際項目不采用redis中間件，可以用JWT實現上述需求，架構示意圖如下：

? ? ? ? 項目中使用JWT步驟如下：

? ? ? ? 1、添加項目依賴：java-jwt

<?xml version="1.0" encoding="UTF-8"?>
<project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 https://maven.apache.org/xsd/maven-4.0.0.xsd"><modelVersion>4.0.0</modelVersion><groupId>com.gingko</groupId><artifactId>jwt</artifactId><version>0.0.1-SNAPSHOT</version><name>jwt</name><description>Demo project for Spring Boot</description><properties><java.version>1.8</java.version><project.build.sourceEncoding>UTF-8</project.build.sourceEncoding><project.reporting.outputEncoding>UTF-8</project.reporting.outputEncoding><spring-boot.version>2.7.6</spring-boot.version></properties><dependencies><dependency><groupId>org.springframework.boot</groupId><artifactId>spring-boot-starter-web</artifactId></dependency><!-- jwt --><dependency><groupId>com.auth0</groupId><artifactId>java-jwt</artifactId><version>4.5.0</version></dependency><!-- fastjson --><dependency><groupId>com.alibaba</groupId><artifactId>fastjson</artifactId><version>1.2.83</version></dependency><dependency><groupId>org.springframework.boot</groupId><artifactId>spring-boot-devtools</artifactId><scope>runtime</scope><optional>true</optional></dependency><dependency><groupId>org.projectlombok</groupId><artifactId>lombok</artifactId><optional>true</optional></dependency><dependency><groupId>org.springframework.boot</groupId><artifactId>spring-boot-starter-test</artifactId><scope>test</scope></dependency></dependencies><dependencyManagement><dependencies><dependency><groupId>org.springframework.boot</groupId><artifactId>spring-boot-dependencies</artifactId><version>${spring-boot.version}</version><type>pom</type><scope>import</scope></dependency></dependencies></dependencyManagement><build><plugins><plugin><groupId>org.apache.maven.plugins</groupId><artifactId>maven-compiler-plugin</artifactId><version>3.8.1</version><configuration><source>1.8</source><target>1.8</target><encoding>UTF-8</encoding></configuration></plugin><plugin><groupId>org.springframework.boot</groupId><artifactId>spring-boot-maven-plugin</artifactId><version>${spring-boot.version}</version><configuration><mainClass>com.gingko.jwt.JwtApplication</mainClass><skip>true</skip></configuration><executions><execution><id>repackage</id><goals><goal>repackage</goal></goals></execution></executions></plugin></plugins></build></project>

? ? ? ? 2、編寫配置

# 應用服務 WEB 訪問端口
server:port: 8080#jwt key
jwt:key: gingko

? ? ? ? 3、代碼實現加密token，解密token。登錄成功后，將加密后的token返回到前臺，前臺放入本地緩存，請求后臺時，將token放入request header中，后臺通過攔截器實現token的校驗進而驗證用戶是否登錄，代碼如下：

? ? ? ? 后臺請求UserController：

package com.gingko.jwt.controller;
import com.auth0.jwt.JWT;
import com.auth0.jwt.algorithms.Algorithm;
import com.gingko.jwt.common.GenericWebResult;
import org.springframework.beans.factory.annotation.Value;
import org.springframework.web.bind.annotation.*;
import java.util.Date;@RestController
@RequestMapping("/user")
public class UserController {@Value("${jwt.key}")private String jwtKey;@RequestMapping("/login")public GenericWebResult login(@RequestParam String userName,@RequestParam String password) {//到數據庫校驗通過Algorithm algorithm = Algorithm.HMAC256(jwtKey);String token = JWT.create().withClaim("userName",userName).withClaim("userId","001")//token半小時過期.withExpiresAt(new Date(System.currentTimeMillis() + 1800000)).sign(algorithm);return GenericWebResult.ok("登錄成功",token);}@RequestMapping("/getInfo")public GenericWebResult getInfo(@RequestAttribute String userId) {return GenericWebResult.ok("獲取信息成功 ",userId);}}

? ? ? ? 登錄攔截器LoginInterceptor：

package com.gingko.jwt.interceptor;
import com.alibaba.fastjson.JSON;
import com.auth0.jwt.JWT;
import com.auth0.jwt.JWTVerifier;
import com.auth0.jwt.algorithms.Algorithm;
import com.auth0.jwt.exceptions.JWTVerificationException;
import com.auth0.jwt.interfaces.DecodedJWT;
import com.gingko.jwt.common.GenericWebResult;
import lombok.extern.slf4j.Slf4j;
import org.springframework.beans.factory.annotation.Value;
import org.springframework.http.HttpStatus;
import org.springframework.stereotype.Component;
import org.springframework.web.servlet.HandlerInterceptor;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;/*** 登錄攔截器*/
@Slf4j
@Component
public class LoginInterceptor implements HandlerInterceptor {@Value("${jwt.key}")private String jwtKey;//登錄之前攔截@Overridepublic boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {String token = request.getHeader("token");response.setContentType("application/json");response.setCharacterEncoding("UTF-8");log.info("登錄校驗開始，token：{}", token);if (token == null || token.isEmpty()) {log.info("token為空，請求被攔截");response.setStatus(HttpStatus.UNAUTHORIZED.value());GenericWebResult genericWebResult = GenericWebResult.error("token為空，請求被攔截");String resultStr = JSON.toJSONString(genericWebResult);response.getWriter().write(resultStr);return false;}try {Algorithm algorithm = Algorithm.HMAC256(jwtKey);JWTVerifier verifier = JWT.require(algorithm).build();//驗證tokenDecodedJWT decodedJWT = verifier.verify(token);//將用戶id設置到request中request.setAttribute("userId",decodedJWT.getClaim("userId").asString());} catch (JWTVerificationException exception) {log.warn("token無效，請求被攔截");GenericWebResult genericWebResult = GenericWebResult.error("token無效，請求被攔截");String resultStr = JSON.toJSONString(genericWebResult);response.getWriter().write(resultStr);return false;}return true;}
}

? ? ? ? 配置類WebMvcConfig及統一返回值GenericWebResult

package com.gingko.jwt.config;
import com.gingko.jwt.interceptor.LoginInterceptor;
import org.springframework.context.annotation.Configuration;
import org.springframework.web.servlet.config.annotation.InterceptorRegistry;
import org.springframework.web.servlet.config.annotation.WebMvcConfigurer;
import javax.annotation.Resource;/*** web配置類，配置攔截器*/
@Configuration
public class WebMvcConfig implements WebMvcConfigurer {@Resourceprivate LoginInterceptor loginInterceptor;@Overridepublic void addInterceptors(InterceptorRegistry registry) {registry.addInterceptor(loginInterceptor).addPathPatterns("/user/*").excludePathPatterns("/user/login");//登錄不用攔截}
}

package com.gingko.jwt.common;
import lombok.AllArgsConstructor;
import lombok.Data;
import lombok.NoArgsConstructor;
import lombok.ToString;
/*** 向前臺返回的統一格式的結果*/
@Data
@ToString
@AllArgsConstructor
@NoArgsConstructor
public class GenericWebResult {/*** 是否成功*/private boolean successFlag;/*** 成功或失敗返回的信息*/private String msg;/*** /*** 返回列表或樹形數據，用戶可以自由添加*/private Object property;/*** 數據總條數，分頁情況下使用*/private Long total;public static GenericWebResult ok() {return new GenericWebResult(true, null, null, null);}public static GenericWebResult ok(String msg) {return new GenericWebResult(true, msg, null, null);}public static GenericWebResult ok(Object property) {return new GenericWebResult(true, null, property, null);}public static GenericWebResult ok(String msg, Object property) {return new GenericWebResult(true, msg, property, null);}public static GenericWebResult ok(Object property, Long total) {return new GenericWebResult(true, null, property, total);}public static GenericWebResult ok(String msg, Object property, Long total) {return new GenericWebResult(true, msg, property, total);}public static GenericWebResult error(String msg) {return new GenericWebResult(false, msg, null, null);}public static GenericWebResult error(String msg, Object data) {return new GenericWebResult(false, msg, data, null);}
}

? ? ? ? 4、后臺啟動2個服務，端口分別是8080和8082，通過8080服務登錄，8082服務驗證token的有效性，篡改token后驗證token無效，符合預期。