【JWT】JWT 实现用户登录控制

我就是我 2023-02-17 02:27 125阅读 0赞

**目录**

一、JWT 简介

二、JWT 的构成

2.1 头部(Header)

2.2 载荷 (Payload)

2.3 签名

2.4 最后生成出的 jwt

2.5 测试和验证

三、工具类代码

--------------------

# 一、JWT 简介 #

JSON Web Token（JWT） 是一种十分轻巧的规范，这个规范允许我们使用 JWT 在用户和服务器之间传递安全可靠的信息。

即 JWT 是用于在客户端和服务器之间传递用户信息的一段 JSON 格式的加密字符串，同时 JWT 可以用于让各个微服务识别用户的身份信息。即 JWT 中封装有用户的身份信息。

# 二、JWT 的构成 #

一个 JWT 实际上就是一个字符串，它由三部分组成：头部、载荷和签名

## 2.1 头部(Header) ##

头部用于描述关于该 JWT 的最基本信息，例如它的类型以及签名所用的算法等，这一部分被可以被表示成一个 JSON 对象。

{"typ":"JWT", "alg":"HS256"}

这段 JSON 字符串指明了签名算法是 HS256 算法，实际使用中这段字符串会被 base64编码，被编码后的字符串为：

eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9

转换地址：[http://base64.xpcha.com/][http_base64.xpcha.com]

## 2.2 载荷 (Payload) ##

载荷就是存放有效信息的地方

假设真实内容为：

{"sub":"1234567890","name":"John Doe","admin":true}

base64 加密后：

eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9

**标准中的注册声明(建议但不强制使用)：**

<table> 
 <tbody> 
  <tr> 
   <td style="width:174px;"><strong>声明名称</strong></td> 
   <td style="width:673px;"><strong>作用</strong></td> 
  </tr> 
  <tr> 
   <td style="width:174px;">iss</td> 
   <td style="width:673px;">jwt 的签发者</td> 
  </tr> 
  <tr> 
   <td style="width:174px;">sub</td> 
   <td style="width:673px;">当前令牌的描述说明</td> 
  </tr> 
  <tr> 
   <td style="width:174px;">aud</td> 
   <td style="width:673px;">接收 jwt 的一方</td> 
  </tr> 
  <tr> 
   <td style="width:174px;">exp</td> 
   <td style="width:673px;">jwt 的过期时间，这个时间必须大于签发时间</td> 
  </tr> 
  <tr> 
   <td style="width:174px;">nbf</td> 
   <td style="width:673px;">定义在什么时间之前，这个 jwt 是不可用的</td> 
  </tr> 
  <tr> 
   <td style="width:174px;">iat</td> 
   <td style="width:673px;">jwt 的签发时间</td> 
  </tr> 
  <tr> 
   <td style="width:174px;">jti</td> 
   <td style="width:673px;">jwt 的唯一身份标识，主要用来作为一次性 token，避免重放攻击</td> 
  </tr> 
 </tbody> 
</table>

**公共声明：**

公共的声明可以添加任何信息，一般添加用户的相关信息或其他业务需要的必要信息，但由于这部分信息在客户端可以被解密，设置这部分可以不加密，故不建议添加敏感信息。这部分信息不参与令牌校验。

**私有声明：**

私有声明是提供者和消费者共同定义的声明，由于 base64是对称解密，即这部分信息可以被解密，故不建议存放敏感信息。这部分信息不参与令牌校验。

**一个载荷的构成：**

(标准中注册的声明 + 公共的声明 + 私有声明 ) => base64 加密 => 一个载荷

## 2.3 签名 ##

jwt 的第三部分是一个签证信息，用于校验数据是否被篡改。签证信息由三部分组成：

*  header(base64后的)
 *  payload(base64后的)
 *  secret (秘钥，或称盐)

**签名的生成方式是：**

Base64(Header) . Base64(Payload) + 秘钥(盐) => 加密(使用 Header 中指定的算法加密) => 密文(签名)

例如(数据不准确)：

Base64(Header)为：eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9

Base64(Payload)为：eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9

secret为： abcdefg

则签名为： HS256(eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.abcdefg) => **TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ**

**注意：**

secret 是保存在服务器端的， jwt 的签发也是发生在服务器端，可以认为 secret 就是服务器端用于签名的私钥，在任何场景中都不应该泄漏出去，一旦客户端得知这个 secret，就意味着客户端可以自我签发 jwt 了。

**签名的作用：**

用于校验令牌是否被篡改

由于 secret 是保存在服务器的，若认为篡改了 jwt，则签名部分肯定发生了变化，服务器只要对比签名部分就能够判断出 jwt 是否被篡改。

## **2.4 最后生成出的 jwt ** ##

> eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7Hg  
> Q

## 2.5 测试和验证 ##

/**
     * @File: JwtTest
     * @Description: 令牌生成和解析测试
     * @Author: tom
     **/
    @Slf4j
    public class JwtTest {
    
        private String signKey = "tomTest";
    
        /**
         * 创建令牌
         */
        @Test
        public void testCreateToken() throws InterruptedException {
            // 构建jwt令牌对象
            JwtBuilder builder = Jwts.builder();
            builder.setIssuer("tom"); // 颁发者
            builder.setIssuedAt(new Date()); // 颁发日期
            builder.setExpiration(new Date(System.currentTimeMillis() + 20000)); // 设置定时，2秒过期
            builder.setSubject("jwt 令牌测试"); // 主题测试
            builder.signWith(SignatureAlgorithm.HS256, signKey); // 1. 签名算法 2. 秘钥
            // 自定义载荷信息
            Map<String, Object> userInfo = new HashMap<String,Object>();
            userInfo.put("company", "dis");
            userInfo.put("address", "北京");
            userInfo.put("money", 3500);
            // 添加载荷
            builder.addClaims(userInfo);
    
            // 获取生成 token
            String token = builder.compact();
            System.out.println(token);
    
    //        Thread.sleep(3000);
            parseToken(token);
        }
    
        /**
         * 令牌解析
         */
        public void parseToken(String token) {
            Claims claims = Jwts.parser().setSigningKey(signKey).parseClaimsJws(token).getBody();
            System.out.println(claims.toString());
        }
    }

# 三、工具类代码 #

import io.jsonwebtoken.Claims;
    import io.jsonwebtoken.JwtBuilder;
    import io.jsonwebtoken.Jwts;
    import io.jsonwebtoken.SignatureAlgorithm;
    import javax.crypto.SecretKey;
    import javax.crypto.spec.SecretKeySpec;
    import java.util.Base64;
    import java.util.Date;
    
    /**
     * JWT工具类
     */
    public class JwtUtil {
    
        // 有效期为
        public static final Long JWT_TTL = 3600000L;// 60 * 60 *1000  一个小时
        // 设置秘钥明文
        public static final String JWT_KEY = "tomcast";
        // 设置颁发者
        public static final String JWT_ISS = "tom";
    
        /**
         * 创建token
         * @param id
         * @param subject
         * @param ttlMillis
         * @return
         */
        public static String createJWT(String id, String subject, Long ttlMillis) {
    
            SignatureAlgorithm signatureAlgorithm = SignatureAlgorithm.HS256;
            long nowMillis = System.currentTimeMillis();
            Date now = new Date(nowMillis);
            if(ttlMillis==null){
                ttlMillis=JwtUtil.JWT_TTL;
            }
            long expMillis = nowMillis + ttlMillis;
            Date expDate = new Date(expMillis);
            SecretKey secretKey = generalKey();
    
            JwtBuilder builder = Jwts.builder()
                    .setId(id)              //唯一的ID
                    .setSubject(subject)   // 主题  可以是JSON数据
                    .setIssuer(JWT_ISS)     // 签发者
                    .setIssuedAt(now)      // 签发时间
                    .signWith(signatureAlgorithm, secretKey) //使用HS256对称加密算法签名, 第二个参数为秘钥
                    .setExpiration(expDate);// 设置过期时间
            return builder.compact();
        }
    
        /**
         * 生成加密后的秘钥 secretKey
         * @return
         */
        public static SecretKey generalKey() {
            byte[] encodedKey = Base64.getDecoder().decode(JwtUtil.JWT_KEY);
            SecretKey key = new SecretKeySpec(encodedKey, 0, encodedKey.length, "AES");
            return key;
        }
    
        /**
         * 解析令牌数据
         * @param jwt
         * @return
         */
        public static Claims parseJWT(String jwt) {
            SecretKey secretKey = generalKey();
            return Jwts.parser().setSigningKey(secretKey).parseClaimsJws(jwt).getBody();
        }
    }

[http_base64.xpcha.com]: http://base64.xpcha.com/