投稿
  1. 极客之音首页
  2. 技术随笔

Springboot：JWT

小半 • • 技术随笔 • 阅读 164

导读：本篇文章讲解 Springboot：JWT，希望对大家有帮助，欢迎收藏，转发！站点地址：www.bmabk.com

文章目录

Springboot：JWT

一、JWT简介

JWT，是指JSON Web Token，也就指通过JSON形式作为Web应用中的令牌，用于在各方之间安全地将信息作为JSON对象传输。在数据传输过程中还可以完成数据加密、签名等相关处理。

1、JWT的优势

在JavaWeb阶段，经常使用session来存储，以方便用来判断用户是否操作等等

但是这里暴露了一个问题，用session存储需要占用服务器内存，当用户只有一两个的时候没啥问题，但是当用户成千上万的话，服务器就很难招架得住了。

并且这是基于cookie来实现的，因此数据很容易被截获，因此不太安全

jwt相比前者，主要有以下优势：

  • 简洁：可以通过在HTTP中的header发送，因此数据量比较少，传输速度比较快
  • 自包含：负载中包含了所有用户所需的信息，避免了多次查询数据库
  • 可跨域：jwt是以json格式家里存储在客户端的，因此，jwt是可以跨语言的

2、JWT的结构

jwt的组成

  • 标头
  • 有效负荷
  • 签名（重要，不可泄漏出去）

2.1、标头（Header）

标头通常由两部分组成

第一个是令牌类型。一般是JWT

第二个则是所使用的签名算法。比如HMACSHA256算法或者RSA

标头通常是由Base64编码组成JWT结构的一部分，但是注意的是Base64编码是一种编码，而不是一种加密过程

通常标头不需要规定

{
  "alg": "HS256",
  "typ": "JWT"
}

2.2、有效负荷（Payload）

有效负荷是包含声明，例如实体类有关的信息，比如说username等等，同样的是使用Base64编码的

{
  "usename": "zhangsan",
  "admin": true
}

2.3、签名（Signature）

签名是由编码后的标头和有效负荷以及我们提供的一个密钥，然后使用标头规定的签名算法进行签名

因此，签名的作用主要是保证JWT没有被篡改过

之所以能保证JWT没有被篡改，是因为如下过程

当后端传输数据给前端的时候，jwt会将标头和有效负荷进行Base’64编码，然后再用这两部分得到的编码字符串再加上自己定义的一个密钥，再使用标头规定的加密算法，从而得到一个签名，假设得到的这个签名是ABC

当这个jwt传到前端的时候，就可以利用Base64解码，从而获取当中的某些数据，当前端需要请求的时候，也会将这个jwt传给后端，假设这过程中的有效负荷被篡改了，那么后端接受到这个jwt的时候就会先进行验签，将得到的jwt的标头和有效负荷再加上自己的密钥来进行加密，这时候肯定得到的不再是ABC，假设得到的是ABD，ABD与ABC一对比明显不一样，因此就可以判断当中内容被篡改了，最终拒绝访问。

这当中也依然存在安全问题，主要是因为Base64是可以解码的，因此我们的传输的信息依然会被暴露，jwt一般不用传输敏感信息。

JWT一般用来设计用户认证和授权系统，甚至实现Web应用的单点登录

二、SpringBoot整合JWT

<!--引入jwt-->
<dependency>
  <groupId>com.auth0</groupId>
  <artifactId>java-jwt</artifactId>
  <version>3.4.0</version>
</dependency>

//生成Token
Calendar instance = Calendar.getInstance();
instance.add(Calendar.SECOND, 90);
String token = JWT.create()//生成令牌
  .withClaim("username", "李四")//设置自定义用户名
  .withExpiresAt(instance.getTime())//设置过期时间
  .sign(Algorithm.HMAC256("DSADA_23#@#@$!GDFGS"));//设置签名 保密 复杂
System.out.println(token);//输出令牌

像这样生成Token可以写成一个JWTUtils，增加代码的复用性

public class JWTUtils {
    //定义自己的密钥
    private static String TOKEN = "token!DASD(#$dsad%$#.";

    /**
     * 生成token
     * @param map 传入的有效负荷
     * @return
     */
    public static String genToken(Map<String, String> map){
        JWTCreator.Builder builder = JWT.create();
        map.forEach((k,v)->{
            builder.withClaim(k, v);
        });
        Calendar instance = Calendar.getInstance();
        //定义过期时间
        instance.add(Calendar.DATE, 7);
        builder.withExpiresAt(instance.getTime());
        return builder.sign(Algorithm.HMAC256(TOKEN)).toString();
    }

    /**
     * 验证获取token中的有效负载，验证失败返回null
     * @param token
     * @return
     */
    public static DecodedJWT getToken(String token){
        return JWT.require(Algorithm.HMAC256(TOKEN)).build().verify(token);
    }
}

为了使得不用在每一个controller前端控制器都写一遍获取token，然后验签的操作

可以将这个操作写在过滤器中，这样的话将token放在请求体中请求，可以简化不少操作

public class JWTInterceptor implements HandlerInterceptor {

    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        Map<String, Object> map = new HashMap<>();
        //获取请求头中令牌
        String token = request.getHeader("token");
        try {
            JWTUtils.verify(token);//验证令牌
            return true;//放行请求
        } catch (SignatureVerificationException e) {
            e.printStackTrace();
            map.put("msg","无效签名!");
        }catch (TokenExpiredException e){
            e.printStackTrace();
            map.put("msg","token过期!");
        }catch (AlgorithmMismatchException e){
            e.printStackTrace();
            map.put("msg","token算法不一致!");
        }catch (Exception e){
            e.printStackTrace();
            map.put("msg","token无效!!");
        }
        map.put("state",false);//设置状态
        //将map 专为json  jackson
        String json = new ObjectMapper().writeValueAsString(map);
        response.setContentType("application/json;charset=UTF-8");
        response.getWriter().println(json);
        return false;
    }
}

配置过滤器

@Configuration
public class InterceptorConfig implements WebMvcConfigurer {

    @Override
    public void addInterceptors(InterceptorRegistry registry) {
        registry.addInterceptor(new JWTInterceptor())
            	//其他接口token验证
                .addPathPatterns("/user/test")   
           		//所有用户都放心
                .excludePathPatterns("/user/login");  
    }
}

编写前端控制器controller

package com.baizhi.controller;

import com.auth0.jwt.exceptions.AlgorithmMismatchException;
import com.auth0.jwt.exceptions.SignatureVerificationException;
import com.auth0.jwt.exceptions.TokenExpiredException;
import com.auth0.jwt.interfaces.DecodedJWT;
import com.baizhi.entity.User;
import com.baizhi.service.UserService;
import com.baizhi.utils.JWTUtils;
import lombok.extern.slf4j.Slf4j;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.PostMapping;
import org.springframework.web.bind.annotation.RestController;

import javax.servlet.http.HttpServletRequest;
import java.util.HashMap;
import java.util.Map;

@RestController
@Slf4j
public class UserController {

    @Autowired
    private UserService userService;


    @GetMapping("/user/login")
    public Map<String,Object> login(User user){
        log.info("用户名: [{}]",user.getName());
        log.info("密码: [{}]",user.getPassword());
        Map<String, Object> map = new HashMap<>();
        try{
            User userDB = userService.login(user);
            Map<String,String> payload =  new HashMap<>();
            payload.put("id",userDB.getId());
            payload.put("name",userDB.getName());
            //生成JWT的令牌
            String token = JWTUtils.getToken(payload);
            map.put("state",true);
            map.put("msg","认证成功");
            map.put("token",token);//响应token
        }catch (Exception e){
            map.put("state",false);
            map.put("msg",e.getMessage());
        }
        return map;
    }


    @PostMapping("/user/test")
    public Map<String,Object> test(HttpServletRequest request){
        Map<String, Object> map = new HashMap<>();
        //处理自己业务逻辑
        String token = request.getHeader("token");
        DecodedJWT verify = JWTUtils.verify(token);
        log.info("用户id: [{}]",verify.getClaim("id").asString());
        log.info("用户name: [{}]",verify.getClaim("name").asString());
        map.put("state",true);
        map.put("msg","请求成功!");
        return map;
    }


}

注意token会作为参数传给前端

版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 举报，一经查实，本站将立刻删除。

文章由极客之音整理，本文链接：https://www.bmabk.com/index.php/post/95010.html

赞 (1)
小半的头像小半
0 0

相关推荐

极客之音——专业性很强的中文编程技术网站，欢迎收藏到浏览器，订阅我们！