JWT 详解

我不是女神ヾ 2022-10-20 01:16 97阅读 0赞

1、JWT是什么？

JSON Web Token (JWT)是一个开放标准(RFC 7519)，它定义了一种紧凑的、自包含的方式，用于作为JSON对象在各方之间安全地传输信息。该信息可以被验证和信任，因为它是数字签名的。

2、JWT和传统Session的优劣

2.1、什么时候使用JWT？

Authorization (授权) : 这是使用JWT的最常见场景。一旦用户登录，后续每个请求都将包含JWT，允许用户访问该令牌允许的路由、服务和资源。单点登录是现在广泛使用的JWT的一个特性，因为它的开销很小，并且可以轻松地跨域使用。

Information Exchange (信息交换) : 对于安全的在各方之间传输信息而言，JSON Web Tokens无疑是一种很好的方式。因为JWTs可以被签名，例如，用公钥/私钥对，你可以确定发送人就是它们所说的那个人。另外，由于签名是使用头和有效负载计算的，您还可以验证内容没有被篡改。

2.2、JWT和Session的比较

**1、无状态：**  
token 自身包含了身份验证所需要的所有信息，使得我们的服务器不需要存储 Session 信息，这显然增加了系统的可用性和伸缩性，大大减轻了服务端的压力。  
也导致了它最大的缺点：当后端在token 有效期内废弃一个 token 或者更改它的权限的话，不会立即生效，一般需要等到有效期过后才可以。另外，当用户 Logout 的话，token 也还有效。除非，我们在后端增加额外的处理逻辑。

**2、避免CSRF 攻击：**  
攻击者就可以通过让用户误点攻击链接，达到攻击效果。防止误触操作，避免请求直接获取本地的session值进行请求访问。

**3、适合移动端应用**  
使用 Session 进行身份认证的话，需要保存一份信息在服务器端，而且这种方式会依赖到 Cookie（需要 Cookie 保存 SessionId），所以不适合移动端。  
但是，使用 token 进行身份认证就不会存在这种问题，因为只要 token 可以被客户端存储就能够使用，而且 token 还可以跨语言使用。

**4、单点登录友好**  
使用 Session 进行身份认证的话，实现单点登录，需要我们把用户的 Session 信息保存在一台电脑上，并且还会遇到常见的 Cookie 跨域的问题。但是，使用 token 进行认证的话， token 被保存在客户端，不会存在这些问题。

3、JWT的结构

JWT的结构由三部分组成，分别是标头、有效负载、签名算法，中间使用 点 进行隔开。

1.  header标头：记录了token的类型和加密算法的josn。  
    像是这样：\{ “typ”: “JWT”, “alg”: “HS256” \}。然后要转成base64字符串。
2.  payload有效负载：记录了用户信息的json。  
    同样要转成base64字符串。
3.  signatur：签名算法  
    head和payload的json，转为base64字符串后，再加密，得到的。  
    通过这个加密，就可以验证jwt是不是对的了。

4、JWT的工作流程

在身份验证中，当用户成功登录系统时，授权服务器将会把 JSON Web Token（JWT）返回给客户端，用户需要将此凭证信息存储在本地(cookie或浏览器缓存)。当用户发起新的请求时，需要在请求头中附带此凭证信息，当服务器接收到用户请求时，会先检查请求头中有无凭证，是否过期，是否有效。如果凭证有效，将放行请求；若凭证非法或者过期，服务器将回跳到认证中心，重新对用户身份进行验证，直至用户身份验证成功。

步骤如下：

1.  发送登录请求，携带username、password
2.  进行验证，验证通过返回JWT
3.  请求头携带JWT发请求到应用服务
4.  验证携带过来的JWT的合法性
5.  验证通过返回，执行后续操作  
    ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQ0OTczMTU5_size_16_color_FFFFFF_t_70]

5、获取Token和对token进行验证

在进行使用JWT的时候，我们首先还是引入依赖。

之后我们先进行生成token的测试。如下代码所示：我们首先使用JWT对象的create方法进行创建对象，之后我们分别将Header标头、payload有效负载、signature签名算法进行指定，而这里的密钥也由自己指定。

public static final String SIGN ="@lzq4585#$^"; // 密钥
    	
        @Test
        void token() { 
            Map map = new HashMap();
    
            Calendar calendar = Calendar.getInstance();
            calendar.add(Calendar.DATE,7);
    
            String token = JWT.create()
                    .withHeader(map) // header
                    .withClaim("id", 1) // payload
                    .withClaim("name", "月月")
                    .withExpiresAt(calendar.getTime()) // 有效时长
                    .sign(Algorithm.HMAC256(SIGN)) // signature
            ;
            System.out.println(token);
        }

运行Test进行测试，我们可以看到token的结构，也就是`x.y.z`

eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJuYW1lIjoi5pyI5pyIIiwiaWQiOjEsImV4cCI6MTYyNjcwMDAzOH0.PvUR8Qk9l_ct4xHfrl18cPs7NfNq9OIk4yyvTJmgmeY

既然生成了token，那么同样的我们也可以对这个token进行解析出来，如下代码所示：进行解析token值的时候我们需要给定对应的加密算法和密钥以及token值，进行解密后获取的token值分别getHeader、getClaim就可以获取到标头和有效负载了。

@Test
        void verify(){ 
            JWTVerifier jwtVerifier = JWT.require(Algorithm.HMAC256("@lzq4585#$^")).build();
    
            DecodedJWT verify =  jwtVerifier.verify("eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJuYW1lIjoi5pyI5pyIIiwiaWQiOjEsImV4cCI6MTYyNjAwMTkxOH0.4Q9RBX-YT2MQe2-RnlxquSdHj6WHNWgu3QJ91muk6qY");
    
            System.out.println(verify.getHeader());
            System.out.println(verify.getClaim("id").asString());
            System.out.println(verify.getClaim("id").asInt());
            System.out.println(verify.getPayload());
    
            System.out.println("过期时间："+verify.getExpiresAt());
        }

注意：在这里的有效负载的值对于相对应的数据类型应使用对应的asString或者asInt等等。比如上面的id就是int类，而进行asString就得不到值，也就是null。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQ0OTczMTU5_size_16_color_FFFFFF_t_70 1]  
6、方法的封装

在前面的测试JWT的生成以及验证我们写了两个对应的test测试，而在项目当中我们进行使用这两个方法也是必不可少的，所以我们可以对上面两个方法进行封装一下，用来直接处理JWT的生成和验证。

第一个就是生成JWT的方法，首先我们生成JWT先获取对于参数，这里使用map进行传参，这里的参数我们要写入payload有效负载当中，返回回去，之后我们添加一个时间，用来作为token过期时间，而后我们创建一个JWT对象，将对应的有效负载、过期时间、加密算法进行写进去给到token。这里入参用的map，而进行写入直接forEach进行循环写入，这是Java8的语法，可以了解一下。

public static String getToken(Map<String, String> map) { 
            Calendar calendar = Calendar.getInstance();
            calendar.add(Calendar.DATE, 7);
            JWTCreator.Builder jwt = JWT.create();
            map.forEach((k, v) -> { 
                jwt.withClaim(k, v);
            });
    
            jwt.withExpiresAt(calendar.getTime());
            String token = jwt.sign(Algorithm.HMAC256(SIGN));
    
            return token;
        }

第二个方法就是验证token的方法。这个就比较简单了，直接将token值传进来，通过密钥进行判断，最后直接返回。

public static DecodedJWT verify(String token) { 
            return JWT.require(Algorithm.HMAC256(SIGN)).build().verify(token);
        }

方法封装之后，我们使用一个Utils类进行保存和统一管理，新建一个JwtUtil类，后面当我们需要使用到token的生成和验证的时候，我们就可以直接进行调用这里面的静态方法即可。

7、登录验证案例

最后离不开的还是案例，这里用一个登录进行验证。首先还是整合mybatis，这里的整合mybatis也就不做详细的说明了，SpringBoot详情可以参考:[SpringBoot 详解][SpringBoot]

并且我们添加一个用来获取所有信息的接口：其中mapper查询语句如下：

<select id="login" parameterType="User" resultType="User">
        select * from user where  name = #{name} and password = #{password}
    </select>

之后添加一个请求，用来模拟登录，这里入参给到name和password。之后查询数据库，返回值用userDB进行保存，将id和name写进有效负载当中，然后调用前面封装的方法，也就是jwtUtil.getToken方法，返回一个token值，最后将数据写进map当中进行返回。

@GetMapping("/user/login1")
        public Map<String,Object> login1(User user){ 
            Map map = new HashMap();
            try { 
                User userDB =userService.login(user);
                Map payload = new HashMap();
                payload.put("id",userDB.getId());
                payload.put("name",userDB.getName());
                String token = jwtUtil.getToken(payload);
                map.put("state",true);
                map.put("msg","认证成功");
                map.put("token",token);
            }catch (Exception e){ 
                map.put("state",false);
                map.put("msg",e.getMessage());
            }
    
            return map;
        }

接口有了，之后我们就直接发送请求看一下效果，首先是账号密码都正确的，可以看到是会有token值进行返回的。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQ0OTczMTU5_size_16_color_FFFFFF_t_70 2]  
随后发送一个账号密码不对的，也就验证通不过，不会生成token值，查看返回结果。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQ0OTczMTU5_size_16_color_FFFFFF_t_70 3]  
同样的，在生成了token之后，我们可以调用验证token的方法，对生成的token进行验证

@PostMapping("/user/test")
        public Map<String,Object> token(String token){ 
            Map map = new HashMap();
            try { 
                DecodedJWT verify =jwtUtil.verify(token);
                map.put("token",verify);
            }catch (Exception e){ 
                map.put("e",e.getMessage());
            }
            return map;
        }

而这里我们同样的发送一条post请求进去查看结果，首先是有效的token，我们可以获取到这个token当中的信息。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQ0OTczMTU5_size_16_color_FFFFFF_t_70 4]  
而后，当token被修改了，也就是这个token是通不过的，捕获异常。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQ0OTczMTU5_size_16_color_FFFFFF_t_70 5]  
当然了，我们这里的token验证是很多请求接口都需要用到，这里的话我们可以使用一个拦截器进行统一管理，同样的可以参考:[SpringBoot 详解][SpringBoot]

![在这里插入图片描述][2021071410470630.jpg_pic_center]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQ0OTczMTU5_size_16_color_FFFFFF_t_70]: /images/20221004/2a077bf910d740ecb64fddd589e52e9b.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQ0OTczMTU5_size_16_color_FFFFFF_t_70 1]: /images/20221004/67699b82dff744f5bedad0efd07d04f6.png
[SpringBoot]: https://blog.csdn.net/qq_44973159/article/details/118336390
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQ0OTczMTU5_size_16_color_FFFFFF_t_70 2]: /images/20221004/382283e2fb4b498eb3662c491f8c185e.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQ0OTczMTU5_size_16_color_FFFFFF_t_70 3]: /images/20221004/31daf9c517e942708e8886a043a8edb5.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQ0OTczMTU5_size_16_color_FFFFFF_t_70 4]: /images/20221004/f4cebcfd93b0490b8577059aca4c2d9a.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQ0OTczMTU5_size_16_color_FFFFFF_t_70 5]: /images/20221004/a03146dbdc3544ef96b08d63e763ca4b.png
[2021071410470630.jpg_pic_center]: /images/20221004/b70c429b42494ae5a73946e5a0309fcb.png