JWT 特點(diǎn)

JWT 默認(rèn)是不加密，但也是可以加密的。生成原始 Token 以后，可以用密鑰再加密一次。

JWT 不加密的情況下，不能將秘密數(shù)據(jù)寫入 JWT。

JWT 不僅可以用于認(rèn)證，也可以用于交換信息。有效使用 JWT，可以降低服務(wù)器查詢數(shù)據(jù)庫的次數(shù)。

JWT 的最大缺點(diǎn)是，由于服務(wù)器不保存 session 狀態(tài)，因此無法在使用過程中廢止某個(gè) token，或者更改 token 的權(quán)限。也就是說，一旦 JWT 簽發(fā)了，在到期之前就會(huì)始終有效，除非服務(wù)器部署額外的邏輯。

JWT 本身包含了認(rèn)證信息，一旦泄露，任何人都可以獲得該令牌的所有權(quán)限。為了減少盜用，JWT 的有效期應(yīng)該設(shè)置得比較短。對(duì)于一些比較重要的權(quán)限，使用時(shí)應(yīng)該再次對(duì)用戶進(jìn)行認(rèn)證。

1. JWT 的原理

Jwt官網(wǎng)：https://jwt.io/

JWT 的原理是，服務(wù)器認(rèn)證以后，生成一個(gè) JSON 對(duì)象，發(fā)回給用戶，就像下面這樣。

{ 'name': 'John Doe', '角色': '管理員', '到期時(shí)間': '2018年7月1日0點(diǎn)0分'}

以后，用戶與服務(wù)端通信的時(shí)候，都要發(fā)回這個(gè) JSON 對(duì)象。服務(wù)器完全只靠這個(gè)對(duì)象認(rèn)定用戶身份。為了防止用戶篡改數(shù)據(jù)，服務(wù)器在生成這個(gè)對(duì)象的時(shí)候，會(huì)加上簽名（詳見后文）。

服務(wù)器就不保存任何 session 數(shù)據(jù)了，也就是說，服務(wù)器變成無狀態(tài)了，從而比較容易實(shí)現(xiàn)擴(kuò)展。

2. JWT 的數(shù)據(jù)結(jié)構(gòu)

JWT 大概就像下面這樣。

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

它是一個(gè)很長(zhǎng)的字符串，中間用點(diǎn)（.）分隔成三個(gè)部分。注意，JWT 內(nèi)部是沒有換行的，這里只是為了便于展示，將它寫成了幾行。

JWT 的三個(gè)組成部分依次如下。

· Header（頭部） · Payload（負(fù)載） · Signature（簽名）

# 寫成一行，就是下面的樣子Header.Payload.Signature2.1 Header

Header 部分是一個(gè) JSON 對(duì)象，描述 JWT 的元數(shù)據(jù)，通常是下面的樣子。

{ 'alg': 'HS256', 'typ': 'JWT'}

上面代碼中，alg屬性表示簽名的算法（algorithm），默認(rèn)是 HMAC SHA256（寫成 HS256）；typ屬性表示這個(gè)令牌（token）的類型（type），JWT 令牌統(tǒng)一寫為JWT。

最后，將上面的 JSON 對(duì)象使用 Base64URL 算法轉(zhuǎn)成字符串。

2.2 Payload

Payload 部分也是一個(gè) JSON 對(duì)象，用來存放實(shí)際需要傳遞的數(shù)據(jù)。JWT 規(guī)定了7個(gè)官方字段，供選用。

iss (issuer)：簽發(fā)人 exp (expiration time)：過期時(shí)間 sub (subject)：主題 aud (audience)：受眾 nbf (Not Before)：生效時(shí)間 iat (Issued At)：簽發(fā)時(shí)間 jti (JWT ID)：編號(hào)

除了官方字段，你還可以在這個(gè)部分定義私有字段，下面就是一個(gè)例子

{ 'sub': '1234567890', 'name': 'John Doe', 'admin': true}

JWT 默認(rèn)是不加密的，任何人都可以讀到，所以不要把秘密信息放在這個(gè)部分。

這個(gè) JSON 對(duì)象也要使用 Base64URL 算法轉(zhuǎn)成字符串。

2.3 Signature

Signature 部分是對(duì)前兩部分的簽名，防止數(shù)據(jù)篡改。

首先，需要指定一個(gè)密鑰（secret）。這個(gè)密鑰只有服務(wù)器才知道，不能泄露給用戶。然后，使用 Header 里面指定的簽名算法（默認(rèn)是 HMAC SHA256），按照下面的公式產(chǎn)生簽名。

HMACSHA256( base64UrlEncode(header) + '.' + base64UrlEncode(payload), secret)

算出簽名以后，把 Header、Payload、Signature 三個(gè)部分拼成一個(gè)字符串，每個(gè)部分之間用'點(diǎn)'（.）分隔，就可以返回給用戶。

3. 在 Java 中使用

依賴，這里使用的是 jjwt

<!-- Jwt https://mvnrepository.com/artifact/io.jsonwebtoken/jjwt --><dependency> <groupId>io.jsonwebtoken</groupId> <artifactId>jjwt</artifactId> <version>0.9.1</version></dependency>

使用

class DemoApplicationTests { // 加鹽秘鑰 private String secret = 'jwtSecretValue'; public static void main(String[] args) { // 創(chuàng)建token String token = this.createToken(20);// String token = 'eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.L1cCfQpCSzPOrxbHVqiMaT8ndRlZd2PuHzYE2TIqUA0'; System.out.println('token --> ' + token); // 解析token this.parseToken(token); } // 創(chuàng)建token public String createToken(Integer time) { // 過期時(shí)間, 默認(rèn)10秒過期 time = time == null ? 10 : time; long l = new Date().getTime() + time * 1000; Date expire = new Date(l); // 自定義信息 Map<String, Object> map = new HashMap<>(); map.put('name', 'admin'); JwtBuilder claim = Jwts.builder() // 設(shè)置簽名算法和加鹽秘鑰 .signWith(SignatureAlgorithm.HS256, secret) // 設(shè)置過期時(shí)間 .setExpiration(expire) // 自定義內(nèi)容接受一個(gè)map .setClaims(map) // 唯一id {'id': '9527'} .setId('9527') // JWT的主體 {'sub': 'jwtSubject'} .setSubject('jwtSubject') // jwt的簽發(fā)時(shí)間 {'iat': '1618383146'} .setIssuedAt(new Date()); // 自定義內(nèi)容{'name': 'admin'}// .claim('name', 'admin'); String token = claim.compact(); // 解析token, jwt是經(jīng)過Base64編碼的// String[] ts = token.split('.');// for (String s : ts) {// System.out.print(s + ' --> ');// System.out.println(Base64Codec.BASE64.decodeToString(s));// }// System.out.println('==============================='); return token; } // 解析token public void parseToken(String token) { System.out.println('====================開始解析JWT===================='); System.out.println('token --> ' + token); try { Claims body = Jwts.parser() // 簽名秘鑰 .setSigningKey(secret) // 要解析的jwt .parseClaimsJws(token) .getBody(); System.out.println('id --> ' + body.getId()); System.out.println('sub --> ' + body.getSubject()); System.out.println('自定義內(nèi)容 name --> ' + body.get('name')); System.out.println('iat 創(chuàng)建時(shí)間 --> ' + body.getIssuedAt()); Date expiration = body.getExpiration(); System.out.print('過期時(shí)間 --> '); System.out.println(expiration == null ? expiration : expiration.toLocaleString()); } catch (Exception e) { e.printStackTrace(); System.out.println('無效Token'); } System.out.println('====================JWT解析結(jié)束===================='); }}

到此這篇關(guān)于在Java中使用Jwt的示例代碼的文章就介紹到這了,更多相關(guān)Java使用Jwt內(nèi)容請(qǐng)搜索好吧啦網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持好吧啦網(wǎng)！