基于JWT的Token认证机制实现
一、基于JWT的Token认证机制实现
1.什么是JWT
JSON Web Token(JWT)是一个非常轻巧的规范。这个规范允许我们使用JWT在用户和服务器之间传递安全可靠的信息。
2.JWT组成
一个JWT实际上就是一个字符串,它由三部分组成,头部、载荷与签名。
头部(Header)头部用于描述关于该JWT的最基本的信息,例如其类型以及签名所用的算法等。这也可以被表示成一个JSON对象。
{"typ":"JWT","alg":"HS256"}
在头部指明了签名算法是HS256算法。 我们进行BASE64编码,编码后的字符串如下:
eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9
载荷(playload)
载荷就是存放有效信息的地方。这个名字像是特指飞机上承载的货品,这些有效信息包含三个部分
(1)标准中注册的声明(建议但不强制使用)
iss: jwt签发者 sub: jwt所面向的用户 aud: 接收jwt的一方 exp: jwt的过期时间,这个过期时间必须要大于签发时间 nbf: 定义在什么时间之前,该jwt都是不可用的. iat: jwt的签发时间 jti: jwt的唯一身份标识,主要用来作为一次性token,从而回避重放攻击。
(2)公共的声明 公共的声明可以添加任何的信息,一般添加用户的相关信息或其他业务需要的必要信息.但不建议添加敏感信息,因为该部分在客户端可解密.
(3)私有的声明
私有声明是提供者和消费者所共同定义的声明,一般不建议存放敏感信息,因为base64是对称解密的,意味着该部分信息可以归类为明文信息。这个指的就是自定义的claim。比如前面那个结构举例中的admin和name都属于自定的claim。这些claim跟JWT标准规定的claim区别在于:JWT规定的claim,JWT的接收方在拿到JWT之后,都知道怎么对这些标准的claim进行验证(还不知道是否能够验证);而private claims不会验证,除非明确告诉接收方要对这些claim进行验证以及规则才行。
定义一个payload:
{"sub":"1234567890","name":"John Doe","admin":true}
然后将其进行base64编码,得到Jwt的第二部分。
eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9
签证(signature)
jwt的第三部分是一个签证信息,这个签证信息由三部分组成:
header (base64后的) payload (base64后的) secret
这个部分需要base64加密后的header和base64加密后的payload使用.连接组成的字符串,然后通过header中声明的加密方式进行加盐secret组合加密,然后就构成了jwt的第三部分。
TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ
将这三部分用.连接成一个完整的字符串,构成了最终的jwt:
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ
注意:secret是保存在服务器端的,jwt的签发生成也是在服务器端的,secret就是用来进行jwt的签发和jwt的验证,所以,它就是你服务端的私钥,在任何场景都不应该流露出去。一旦客户端得知这个secret, 那就意味着客户端是可以自我签发jwt了。
二、Java的JJWT实现JWT
1.什么是JJWT
JJWT是一个提供端到端的JWT创建和验证的Java库。永远免费和开源(Apache License,版本2.0),JJWT很容易使用和理解。它被设计成一个以建筑为中心的流畅界面,隐藏了它的大部分复杂性。
2.快速入门
(1)token的创建
创建Maven工程,引入依赖
<dependency><groupId>io.jsonwebtoken</groupId><artifactId>jjwt</artifactId><version>0.6.0</version></dependency>
创建类CreateJwtTest,用于生成token
public static void main(String[] args) {//setIssuedAt用于设置签发时间//signWith用于设置签名秘钥JwtBuilder builder= Jwts.builder().setId("001").setSubject("路飞").setIssuedAt(new Date()).signWith(SignatureAlgorithm.HS256,"demaxiya");System.out.println(builder.compact());}
测试运行,得到下面的字符串
eyJhbGciOiJIUzI1NiJ9.eyJqdGkiOiIwMDEiLCJzdWIiOiLot6_po54iLCJpYXQiOjE1NDczNDk4NTl9.T8TitZi7ExbfIrgw6EmjLfgYrakgZQihLAkf9hCKZMA
(2)token的解析
我们刚才已经创建了token ,在web应用中这个操作是由服务端进行然后发给客户端,客户端在下次向服务端发送请求时需要携带这个token(这就好像是拿着一张门票一样),那服务端接到这个token 应该解析出token中的信息(例如用户id),根据这些信息查询数据库返回相应的结果。
创建ParseJwtTest
public static void main(String[] args) {String token="eyJhbGciOiJIUzI1NiJ9.eyJqdGkiOiIwMDEiLCJzdWIiOiLot6_po54iLCJpYXQiOjE1NDczNDk4NTl9.T8TitZi7ExbfIrgw6EmjLfgYrakgZQihLAkf9hCKZMA";Claims claims =Jwts.parser().setSigningKey("itcast").parseClaimsJws(token).getBody();System.out.println("id:"+claims.getId());System.out.println("subject:"+claims.getSubject());System.out.println("IssuedAt:"+claims.getIssuedAt());
}
得到如下结果
id:001 subject:路飞 IssueAt:Sun Jan 13 11:24:19 CST 2019
试着将token或签名秘钥篡改一下,会发现运行时就会报错,所以解析token也就是验证token
(3)token过期校验
有很多时候,我们并不希望签发的token是永久生效的,所以我们可以为token添加一个过期时间。
创建CreateJwtTest2
public static void main(String[] args) {//为了方便测试,我们将过期时间设置为1分钟//setExpiration 方法用于设置过期时间long now = System.currentTimeMillis();//当前时间long exp = now + 1000*60;//过期时间为1分钟JwtBuilder builder = Jwts.builder().setId("002").setSubject("索隆").setIssuedAt(new Date()).signWith(SignatureAlgorithm.HS256, "demaxiya").setExpiration(new Date(exp));System.out.println(builder.compact());}
修改ParseJwtTest
public static void main(String[] args) {StringcompactJws="eyJhbGciOiJIUzI1NiJ9.eyJqdGkiOiIwMDIiLCJzdWIiOiLntKLpmoYiLCJpYXQiOjE1NDczNTAyNzgsImV4cCI6MTU0NzM1MDMzN30.f9qwAywzBbw8d_wKDfs-mDvZWbnPtuToZFZ7FWCo5PQ";Claims claims =Jwts.parser().setSigningKey("demaxiya").parseClaimsJws(compactJws).getBody();System.out.println("id:"+claims.getId());System.out.println("subject:"+claims.getSubject());SimpleDateFormat sdf=new SimpleDateFormat("yyyy‐MM‐dd hh:mm:ss");System.out.println("签发时间:"+sdf.format(claims.getIssuedAt()));System.out.println("过期时间:"+sdf.format(claims.getExpiration()));System.out.println("当前时间:"+sdf.format(new Date()) );
}
测试运行,当未过期时可以正常读取,当过期时会引发io.jsonwebtoken.ExpiredJwtException异常。
(4)自定义claims
我们刚才的例子只是存储了id和subject两个信息,如果你想存储更多的信息(例如角色)可以定义自定义claims
创建CreateJwtTest3
public static void main(String[] args) {//为了方便测试,我们将过期时间设置为1分钟long now = System.currentTimeMillis();//当前时间long exp = now + 1000*60;//过期时间为1分钟JwtBuilder builder = Jwts.builder().setId("002").setSubject("索隆").setIssuedAt(new Date()).signWith(SignatureAlgorithm.HS256, "demaxiya").setExpiration(new Date(exp)).claim("roles","admin").claim("logo","logo.jpg");System.out.println(builder.compact());}
修改ParseJwtTest
public static void main(String[] args) {String token = "eyJhbGciOiJIUzI1NiJ9.eyJqdGkiOiIwMDIiLCJzdWIiOiLntKLpmoYiLCJpYXQiOjE1NDczNTAzMDYsImV4cCI6MTU0NzM1MDM2Niwicm9sZXMiOiJhZG1pbiIsImxvZ28iOiJsb2dvLmpwZyJ9.t7LFuAvCmAxPZjZKi0bQD6u6x4Huq2aJ5UEEtxP6UTY";Claims claims = Jwts.parser().setSigningKey("demaxiya").parseClaimsJws(token).getBody();System.out.println("id:" + claims.getId());System.out.println("subject:" + claims.getSubject());System.out.println("roles:" + claims.get("roles"));System.out.println("logo:" + claims.get("logo"));
SimpleDateFormat sdf = new SimpleDateFormat("yyyy‐MM‐dd hh:mm:ss");System.out.println("签发时间:" + sdf.format(claims.getIssuedAt()));System.out.println("过期时间:"+sdf.format(claims.getExpiration()));System.out.println("当前时间:" + sdf.format(new Date()));}
打印结果如下:
id:002 subject:索隆 roles:admin logo:logo.jpg 签发时间:2019‐01‐13 11:31:46 过期时间:2019‐01‐13 11:32:46 当前时间:2019‐01‐13 11:32:31
基于JWT的Token认证机制实现相关推荐
- jwt重放攻击_【干货分享】基于JWT的Token认证机制及安全问题
一步一步教你基于JWT的Token认证机制实现,以及如何防范XSS攻击.Replay攻击和中间人攻击. 文章目录 一.几种常用的认证机制 1.1 HTTP Basic Auth HTTP Basic ...
- java中的token机制,基于JWT的Token认证机制java实现(二)
Java的JJWT实现JWT. JJWT是一个提供端到端的JWT创建和验证的Java库.永远免费和开源(Apache License,版本2.0),JJWT很容易使用和理解.它被设计成一个以建筑为中心 ...
- 接口使用jwt返回token_基于JWT的token认证
阿里云API网关在Json Web Toke(JWT)这种结构化令牌的基础上实现了一套基于用户体系对用户的API进行授权访问的机制,满足用户个性化安全设置的需求. 一.基于token的认证 1.1 简 ...
- Java实现Token登录验证(基于JWT的token认证实现)
文章目录 一.JWT是什么? 二.使用步骤 1.项目结构 2.相关依赖 3.数据库 4.相关代码 三.测试结果 一.JWT是什么? 在介绍JWT之前,我们先来回顾一下利用token进行用户身份验证的流 ...
- 前后端分离中使用基于jwt的token进行身份认证
基于jwt的Token认证机制可以看之前的文章: 基于JWT的Token认证机制实现 在前后端分离中,我们与前端约定一种身份认证机制.当用户登录的时候,我们会返回给前端一个token,前端会将toke ...
- ASP.NET WebApi 基于JWT实现Token签名认证
一.前言 开发提供数据的WebApi服务,最重要的是数据的安全性.那么对于我们来说,如何确保数据的安全将会是需要思考的问题.在ASP.NET WebService服务中可以通过SoapHead验证机制 ...
- 【java】基于JWT的token身份认证方案
1.概述 转载:基于JWT的token身份认证方案 2.使用JSON Web Token的好处 2.1 性能问题 验证信息可以由前端保存,后端不需要为保存token消耗内存.JWT方式将用户状态分散到 ...
- 基于jwt的token验证、原理及流程
来源:www.cnblogs.com/better-farther-world2099 一.什么是JWT Json web token (JWT), 是为了在网络应用环境间传递声明而执行的一种基于JS ...
- Web应用中基于密码的身份认证机制(表单认证、HTTP认证: Basic、Digest、Mutual)
Web应用中基于密码的身份认证机制 背景概念 认证(Authentication) 会话管理 1 表单认证(Form-Based Authentication) 1.1 介绍 1.2 流程 2 通用的 ...
最新文章
- 数据段描述符和代码段描述符(二)——《x86汇编语言:从实模式到保护模式》读书笔记11
- OpenGL HDR色调映射的实例
- 测试反模式冰激凌模式的不足_单元测试反模式,完整列表
- mssql访问 oracle
- flask v0.1 路由
- cocos2dx 3.x 开发环境搭建
- SCI期刊分区/期刊名词,看完秒懂~
- python安装apk到手机_python自动安装apk文件
- 终结者2018java游戏_如何评价电影《终结者 2018》?
- 2011-2012世界大学排行榜(前200)
- 嵌入式开发——基于小熊派的智慧农业案例(一)
- 通用路由封装协议--GRE的简单配置
- 什么是强化学习?(贝尔曼方程)
- OpenStack使用Placement做资源管理时虚拟机无法调度的一次排错记录
- (转)一篇令所有游戏圈的兄弟汗颜的文章
- Paxos 与拜占庭将军问题
- vue(数据请求)框架
- 15款时间计划、任务管理APP/软件对比(团队\个人)
- [转]医保 北京医保存折如何取钱
- mysql 分区表 限制_MySQL分区表的局限和限制-阿里云开发者社区