JWT了解一下
简介
JSON Web Token (JWT)是一个开放标准(RFC 7519)，它定义了一种紧凑且自包含的方式，用于将信息作为JSON对象在各方之间安全地传输。可以对该信息进行验证和信任，因为它是数字签名的。JWT可以使用密钥(使用HMAC算法)或使用RSA或ECDSA的公钥/私钥对进行签名。
JWT优点
-
简洁(Compact)：可以通过URL、POST参数或在HTTP标头内发送。由于它的大小，它的传输速度也很快。
-
自包含(Self-contained)：有效负载包含有关用户的所有必需信息，可以避免多次查询数据库。
-
JWT是跨语言的。
-
不需要在服务端保存会话信息，特别适用于分布式微服务。
JWT使用场景
1.授权
这是JWT的典型使用场景，一旦用户登录，每个后续请求都将包含JWT，允许用户访问该令牌允许的路由、服务和资源。单点登录是现在广泛使用JWT的一个特性，因为它的开销很小，并且能够在不同域的系统之间轻松使用。
具体流程如下图：
a.用户通过登录将用户名和密码发送给服务端。
b.服务端验证用户名和密码，验证通过则生成JWT，将生成的JWT返回给客户端。
c.客户端收到JWT后，将它保存在本地，当退出登录时再清除保存的JWT。
d.当客户端访问服务端受保护的资源时，需要带上JWT，一般将JWT放入HTTP Header的Authorization标头中(使用Bearer模式)。
e.服务端接收到请求时，首先会验证JWT的有效性，验证通过则正常执行对应逻辑返回对应资源，验证失败则拒绝访问对应资源。
2.信息交换
JWT是在各方之间安全传输信息的好方法，因为JWT可以被签名(例如：使用公钥/私钥对)，您可以确定发送者就是他们所说的那个人。此外，由于使用标头和有效负载计算签名，因此还可以验证内容是否被篡改。
JWT结构
JWT由用点(.)分隔的以下三个部分组成：
-
标头(Header)
-
有效载荷(Payload)
-
签名(Signature)
因此，JWT通常如下所示：
Header.Payload.Signature
标头(Header)
Header通常由两部分组成：令牌的类型，即JWT，以及签名算法，如HMAC SHA256或RSA。如下所示：
{
"alg": "HS256",
"typ": "JWT"
}
这个JSON将被Base64编码，组成JWT的第一部分。
有效载荷(Payload)
Payload包含有关实体和其他数据的声明。如下所示：
{
"sub": "1234567890",
"name": "John Doe",
"admin": true
}
同样这个JSON将被base64编码，组成JWT的第二部分。
关于Payload应该注意两点，由于只是使用Base64编码并没有加密，所以不应该存储敏感数据。其次是应该设置到期时间。
签名(Signature)
Signature需要使用编码后的header和Payload以及我们提供的一个密钥，然后使用header中指定的签名算法进行签名，该签名字符串将作为JWT中的第三部分。如下所示：
HMACSHA256(
base64UrlEncode(header) + "." +
base64UrlEncode(payload),
secret)
Java中使用JWT
maven依赖：
<dependency>
<groupId>com.auth0</groupId>
<artifactId>java-jwt</artifactId>
<version>3.16.0</version>
</dependency>
JwtUtils：
import com.auth0.jwt.JWT;
import com.auth0.jwt.JWTCreator;
import com.auth0.jwt.algorithms.Algorithm;
import com.auth0.jwt.interfaces.DecodedJWT;
import java.util.Calendar;
import java.util.Map;
public class JwtUtils {
//加密密钥
private static final String SECRET = "5b6u5L+h5YWs5LyX5Y+377ya5oiR55yf55qE5LiN5LyaSmF2YeWVig==";
//Token过期时间
private static final int EXP_TIME_MINUTE = 30;
/**
* 创建Token
* @param payloadDataMap
* @return
*/
public static String createToken(Map<String, String> payloadDataMap) {
JWTCreator.Builder builder = JWT.create();
//设置自定义的数据
payloadDataMap.forEach((key, value) -> builder.withClaim(key, value));
//设置token有效期 60s
Calendar calendar = Calendar.getInstance();
calendar.add(Calendar.MINUTE, EXP_TIME_MINUTE);
builder.withExpiresAt(calendar.getTime());
//生成Token
return builder.sign(Algorithm.HMAC256(SECRET));
}
/**
* 验证Token
* @param token
* @return
*/
public static DecodedJWT verifyToken(String token) {
return JWT.require(Algorithm.HMAC256(SECRET)).build().verify(token);
}
}
创建Token：
@Test
public void testCreateToken(){
Map<String, String> dataMap = new HashMap<>();
dataMap.put("id", "7");
dataMap.put("username", "buhe");
dataMap.put("wechat", "tryjava");
System.out.println(JwtUtils.createToken(dataMap));
}
输出：
eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJ3ZWNoYXQiOiJ0cnlqYXZhIiwiaWQiOiI3IiwiZXhwIjoxNjI0ODY2MTE2LCJ1c2VybmFtZSI6ImJ1aGUifQ._hELqy_DpBL4IlE5N-ZtUNFia72MOxHK220ISuzSfKE
验证Token，并输出Payload中的数据：
@Test
public void testVerifyToken(){
String token = "eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJ3ZWNoYXQiOiJ0cnlqYXZhIiwiaWQiOiI3IiwiZXhwIjoxNjI0ODY2MTE2LCJ1c2VybmFtZSI6ImJ1aGUifQ._hELqy_DpBL4IlE5N-ZtUNFia72MOxHK220ISuzSfKE";
DecodedJWT decodedJWT = JwtUtils.verifyToken(token);
decodedJWT.getClaims().forEach((key, value) -> System.out.println(key + " : " + value));
}
输出：
wechat : "tryjava"
id : "7"
exp : 1624866116
username : "buhe"
验证失败的情况
token验证成功时会返回DecodedJWT对象，从DecodedJWT中，我们能获取到Token相关的一些信息，token验证失败时则会抛出对应异常。
token验证异常分类如下图：
