jwt 0.9.0（三）jwt客户端存储状态可行性分析，及Java代码案例

Jwt客户端存储状态可行性分析

1、前端首次访问后台，后台生成token，放在http header的Authorization里（官网推荐，可解决跨域cookie跨域问题），并且Authorization Type类型为Bearer，将token返回给前端。

2、后台生成token的过程，包括给token指定加密协议比如HS56，加密类型比如“JWT”，自定义数据比如uuid，还有最重要的是记得指定一个超级复杂的密钥，并且定期更换它，密钥用于jwt签名部分。还需要给jwt token指定一个合理的过期时间，这个也同样非常重要。

3、前端获取token后存储token，建议存入本地cookie。

4、前端再次发起后台API接口访问，此时需要带上token，也是放在http header中且Authorization Type类型为Bearer，后台需校验token的正确性后才可访问权限受限的API接口或其他资源。

先添加maven依赖

<dependency>
       <groupId>io.jsonwebtoken</groupId>
       <artifactId>jjwt</artifactId>
       <version>0.9.0</version>
</dependency>
<dependency>
       <groupId>org.apache.commons</groupId>
       <artifactId>commons-lang3</artifactId>
       <version>3.9</version>
</dependency>

JAVA代码案例

package com.joyce.demo.jwt.controller;

import java.util.Date;
import java.util.HashMap;
import java.util.Iterator;
import java.util.Map;
import java.util.Map.Entry;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import org.apache.commons.lang3.StringUtils;
import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.RestController;
import io.jsonwebtoken.ExpiredJwtException;
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.MalformedJwtException;
import io.jsonwebtoken.SignatureAlgorithm;
import io.jsonwebtoken.SignatureException;
import io.jsonwebtoken.UnsupportedJwtException;

/**
 * jwt 官网: https://jwt.io
 * 
 * @author Joyce 朱文  2019/6/16
 *
 */
@RestController
public class JwtController {

    private static final String SECRET = "123456"; // jwt token私钥，防止token被盗被破解
    public static final long EXPIRATION_TIME = 1800_000L; // token的过期时间，30 分钟

    /**
     * <pre>
     * 步骤1：第一次访问系统，生成token。
     * </pre>
     */
    @RequestMapping("/joyce/step1/firstAccess")
    public String step1(HttpServletRequest request, HttpServletResponse response) {

        // 把原来放在session里的信息都放入token
        HashMap<String, Object> tokenDataMap = new HashMap<>();
        tokenDataMap.put("uuid", "避免把敏感信息写入token");
        tokenDataMap.put("other", "xxx");
        request.getCookies();

        // 指定token的过期时间：30分钟
        Date thisTokenExpTime = new Date(new Date().getTime() + EXPIRATION_TIME);

        // 生成jwt token
        String token = Jwts.builder().setClaims(tokenDataMap).setExpiration(thisTokenExpTime)
                .signWith(SignatureAlgorithm.HS512, SECRET).compact();

        // 按照jwt官方说明，可把token放入header中的Authorization，并且Authorization type为“Bearer Token”
        response.setCharacterEncoding("UTF-8");
        response.setContentType("application/json; charset=utf-8");
        response.setHeader("Access-Control-Allow-Headers", "Origin,Content-Type,Authorization");
        response.setHeader("Authorization", "Bearer " + token);
//        response.setHeader("Access-Control-Allow-Origin","*");//启用跨域
//        response.setHeader("Access-Control-Allow-Credentials", "true");
//        response.setHeader("Access-Control-Allow-Methods", "POST,GET,OPTIONS,DELETE,PATCH,PUT");
//        response.setHeader("Access-Control-Max-Age", "3600");
//        response.setHeader("Access-Control-Allow-Headers", "Origin,X-Requested-With,x-requested-with,X-Custom-Header," +
//                "Content-Type,Accept,Authorization");

        return token;
    }

    /**
     * <pre>
     * 步骤2：进入后续任何一个页面 
     * 1、从Authorization header中获取token 
     * 2、校验token正确性，如果错误，返回提示信息
     * </pre>
     */
    @RequestMapping("/joyce/step2/validToken")
    public String step2(HttpServletRequest request, HttpServletResponse response) {

        // 获取header
        String authorization = request.getHeader("Authorization");
        System.out.println("authorization===== " + authorization);

        // 解析token
        String token = StringUtils.EMPTY;
        // 如果token为空，则返回失败
        if (StringUtils.isBlank(authorization)) {
            return "error";
        }

        try {
            token = authorization.replaceFirst("Bearer ", StringUtils.EMPTY);
            // 得到自定义数据
            Map<String, Object> tokenDataMap = Jwts.parser().setSigningKey(SECRET).parseClaimsJws(token).getBody();

            //////////////////////////////////// 取值方式一
            // 获取token里payload有效负载数据
            String uuid = (String) (tokenDataMap.get("uuid"));
            String other = (String) (tokenDataMap.get("other"));
//                Date generateTime = new Date((Long) tokenDataMap.get("myDate"));

            //////////////////////////////////// 取值方式二
            Iterator<Entry<String, Object>> it = tokenDataMap.entrySet().iterator();
            while (it.hasNext()) {
                Entry<String, Object> entry = it.next();
                System.out.println("entry = " + entry.getKey() + ":" + entry.getValue());
            }

            // 对所有的异常都需要进行业务处理
        } catch (UnsupportedJwtException e) { // 当接收到的JWT格式/配置与应用程序期望的格式不匹配时抛出异常。例如，当应用程序需要一个加密签名的JWS声明时，如果解析一个无签名的明文JWT，则会引发此异常。
            // TODO: handle exception
        } catch (MalformedJwtException e) { // 非正确的jwt结构
            // TODO: handle exception
        } catch (SignatureException e) { // 签名错误
            // TODO: handle exception
        } catch (ExpiredJwtException e) { // token过期
            // TODO: handle exception
        } catch (IllegalArgumentException e) { // 传递非法参数
            // TODO: handle exception
        }
        return "ok";
    }

}

 end.