基于JWT的token认证机制
1. 一个JWT实际上就是一个字符串，由三部分组成 头部，载荷，签名
头部：事描述类型，签名，算法等 可以被表示成一个JSON对象
载荷：存放有效信息的地方 包含三个部分
(1)标准注册中的声明-建议但不强制使用
iss:jwt签发者
sub:jwt所面向的用户
aud:接收jwt的一方
exp:jwt的过期时间，时间必须大于签发时间
nbf:定义在什么时间以前，这个jwt都是不可用的
iat:jwt的签发时间
jti:jwt的唯一身份标识，用来作为token
(2)公共的声明
一般是公司相关的信息，由于这部分可以被解密，所以不要添加敏感信息
(3)私有的声明
可以被解密，，
可以自定义claim
载荷的例子 {"sub":"1233","name":"John","admin":true}
签证：三部分
header(base64后的)
payload(base64后的)
secret
2. 名词解释 Base64
64个可打印二进制数据 2^6为64 每6个比特是一个单元，打印一个字符，3个字节有24个比特
对应4个Base64 JDK中提供了BASE64Encoder BASE64Decoder 编码，解码
3. java的jjwt
JJWT是一个提供端到端的JWT创建和验证的Java库
4. 使用
(一)引入依赖
<dependency> <groupId>io.jsonwebtoken</groupId> <artifactId>jjwt</artifactId> <version>0.6.0</version> </dependency>
(二)测试使用
package BigTest.jwt; import com.JwtBootApplication; import io.jsonwebtoken.Claims; import io.jsonwebtoken.JwtBuilder; import io.jsonwebtoken.Jwts; import io.jsonwebtoken.SignatureAlgorithm; import org.junit.Test; import org.junit.runner.RunWith; import org.springframework.boot.test.context.SpringBootTest; import org.springframework.test.context.junit4.SpringRunner; import java.text.SimpleDateFormat; import java.util.Date; @RunWith(SpringRunner.class) @SpringBootTest(classes = JwtBootApplication.class) public class CreateJwtTest { /* * java.lang.IllegalArgumentException: * secret key byte array cannot be null or empty. * 是因为secret太简单了 没有加时间 * */ @Test public void testJwt(){ JwtBuilder jwtBuilder = Jwts.builder().setId("888") .setSubject("小白") .setIssuedAt(new Date()) //setIssuedAt用于设置签发时间 .signWith(SignatureAlgorithm.HS256, "onetwothree"); //signWith用于设置签名秘钥 System.out.println(jwtBuilder.compact()); //eyJhbGciOiJIUzI1NiJ9.eyJqdGkiOiI4ODgiLCJzdWIiOiLlsI_nmb0iLCJpYXQiOjE1NzMyOTAwOTh9.-lqlLqmAG2qQ15Ge7IlcgIAgj0V54L0GCA5dJfM6Lw4 } @Test public void ParseJwtTest(){ String token = "eyJhbGciOiJIUzI1NiJ9.eyJqdGkiOiI4ODgiLCJzdWIiOiLlsI_nmb0iLCJpYXQiOjE1NzMyOTAwOTh9.-lqlLqmAG2qQ15Ge7IlcgIAgj0V54L0GCA5dJfM6Lw4"; Claims claims = Jwts.parser().setSigningKey("onetwothree").parseClaimsJws(token).getBody(); System.out.println("id="+claims.getId()); System.out.println("subject="+claims.getSubject()); System.out.println("IssueAt="+claims.getIssuedAt()); } /** * 带过期时间的jwt-token * ExpiredJwtException: token过期报错 */ @Test public void testJwt_time(){ long now = System.currentTimeMillis(); long exp = now + 1000*60;//设置时间为1分钟 JwtBuilder jwtBuilder = Jwts.builder().setId("888") .setSubject("小白") .setIssuedAt(new Date()) //setIssuedAt用于设置签发时间 .setExpiration(new Date(exp))//setExpiration设置token过期时间 .signWith(SignatureAlgorithm.HS256, "onetwothree"); //signWith用于设置签名秘钥 System.out.println(jwtBuilder.compact()); } @Test public void ParseJwtTest_time(){ String token = "eyJhbGciOiJIUzI1NiJ9.eyJqdGkiOiI4ODgiLCJzdWIiOiLlsI_nmb0iLCJpYXQiOjE1NzMyOTg0MDUsImV4cCI6MTU3MzI5ODQ2NX0.Rx-0BrJ2032aUz_vrttXw-9_idfQe3LHzCnLOWpsaqs"; Claims claims = Jwts.parser().setSigningKey("onetwothree").parseClaimsJws(token).getBody(); System.out.println("id="+claims.getId()); System.out.println("subject="+claims.getSubject()); System.out.println("IssueAt="+claims.getIssuedAt()); SimpleDateFormat sdf=new SimpleDateFormat("yyyy‐MM‐dd hh:mm:ss"); System.out.println("签发时间:"+sdf.format(claims.getIssuedAt())); System.out.println("过期时间:"+sdf.format(claims.getExpiration())); System.out.println("当前时间:"+sdf.format(new Date()) ); } /* * 自定义claims，上面的只存储了id和subject 自定义可以存储自己向存储的内容 * */ @Test public void testJwt_claims(){ long now = System.currentTimeMillis(); long exp = now + 1000*60; //设置过期时间为1分钟 JwtBuilder claim = Jwts.builder().setId("9768") .setSubject("zhangsan") .setIssuedAt(new Date()) .signWith(SignatureAlgorithm.HS256,"onetwothree") .setExpiration(new Date(exp)) .claim("roles", "admin") .claim("address", "beijing"); System.out.println(claim.compact()); } @Test public void ParseJwtTest_claim(){ String token = "eyJhbGciOiJIUzI1NiJ9.eyJqdGkiOiI5NzY4Iiwic3ViIjoiemhhbmdzYW4iLCJpYXQiOjE1NzMzMDg0ODUsImV4cCI6MTU3MzMwODU0NSwicm9sZXMiOiJhZG1pbiIsImFkZHJlc3MiOiJiZWlqaW5nIn0.Y-8hZIAlWzegSadQWSQGRc9gUBGlBznRT984jtqQZ-s"; Claims claims = Jwts.parser().setSigningKey("onetwothree").parseClaimsJws(token).getBody(); System.out.println("id:"+claims.getId()); System.out.println("subject:"+claims.getSubject()); System.out.println("roles:"+claims.get("roles")); System.out.println("logo:"+claims.get("address")); SimpleDateFormat sdf=new SimpleDateFormat("yyyy‐MM‐dd hh:mm:ss"); System.out.println("签发时间:"+sdf.format(claims.getIssuedAt())); System.out.println("过期时间:"+sdf.format(claims.getExpiration())); System.out.println("当前时间:"+sdf.format(new Date()) ); } }
(三)在springboot中的使用
在application.yml添加配置
jwt:
config:
key: zhedoumeishenme
ttl: 360000
编写utils
package com.xxy.server.common.utils; import io.jsonwebtoken.*; import org.springframework.boot.context.properties.ConfigurationProperties; import java.util.Date; @ConfigurationProperties("jwt.config")//拿到 .yml中的参数 public class JwtUtils { private String key; private long ttl; //一个小时 public String getKey() { return key; } public void setKey(String key) { this.key = key; } public long getTtl() { return ttl; } public void setTtl(long ttl) { this.ttl = ttl; } /** * 生成jwt * @param id * @param subject * @param roles * @return */ public String createJWT(String id, String subject, String roles){ long nowMillis = System.currentTimeMillis(); Date now = new Date(nowMillis); JwtBuilder builder = Jwts.builder().setId(id) .setSubject(subject) .signWith(SignatureAlgorithm.HS256, key) .setIssuedAt(now) .claim("roles", roles); if(ttl > 0){ builder.setExpiration(new Date(nowMillis+ttl)); } return builder.compact(); } /** * 解析JWT * @param jwtStr * @return */ public Claims parseJWT(String jwtStr){ return Jwts.parser() .setSigningKey(key) .parseClaimsJws(jwtStr) .getBody(); } }
Jwt请求拦截器
package com.xxy.server.common.interceptors; import com.xxy.server.common.utils.JwtUtils; import io.jsonwebtoken.Claims; import org.springframework.beans.factory.annotation.Autowired; import org.springframework.stereotype.Component; import org.springframework.web.servlet.handler.HandlerInterceptorAdapter; import javax.servlet.http.HttpServletRequest; import javax.servlet.http.HttpServletResponse; /** * @Description: Jwt请求拦截器 * @Author: xuxiaoyu * @Create: 2019-11-10 20:45 */ @Component public class JwtFilter extends HandlerInterceptorAdapter { @Autowired private JwtUtils jwtUtils; @Override public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception { System.out.println("经过了jwtfilter拦截器"); final String authHeader = request.getHeader("Authorization"); if (authHeader != null && authHeader.startsWith("Bearer ")) { Claims claims = jwtUtils.parseJWT(authHeader); if(claims != null){ if("admin".equals(claims.get("roles"))){ request.setAttribute("admin_claims", claims); } if("user".equals(claims.get("roles"))){ request.setAttribute("user_claims", claims); } } } return true; } }
配置到mvc中
package com.xxy.server.common.config; import com.xxy.server.common.interceptors.JwtFilter; import org.springframework.beans.factory.annotation.Autowired; import org.springframework.context.annotation.Configuration; import org.springframework.web.servlet.config.annotation.InterceptorRegistry; import org.springframework.web.servlet.config.annotation.ViewControllerRegistry; import org.springframework.web.servlet.config.annotation.WebMvcConfigurationSupport; /** * description：该类可以来扩展Spirng MVC的功能 */ @Configuration public class MvcConfig extends WebMvcConfigurationSupport { @Autowired private JwtFilter jwtFilter; /** * description:添加默认视图映射，当访问localhost:8080/时，跳转到index.html页面 * params : registry * @return void */ @Override public void addViewControllers(ViewControllerRegistry registry) { registry.addViewController("/").setViewName("index"); } /** * description: Jwt请求拦截器，任何请求都会经过这个拦截器 * @param registry */ @Override protected void addInterceptors(InterceptorRegistry registry) { registry.addInterceptor(jwtFilter) .addPathPatterns("/**") .excludePathPatterns("/login","/captcha"); } }
然后在方法中就可以判断使用了
Claims claims = (Claims) request.getAttribute("admin_claims");
if (claims == null) {
return HttpResultUtil.error("权限不足");
}
