JWT详解

一. JWT介绍
- 1. JWT官网解释
- 2. JWT作用
- 3. 传统的Session认证
- - 1. 认证方式
  - 2. 认证流程
  - 3. 暴露问题
- 4. JWT认证
- - 1. 认证流程
  - 2. JWT优点
- 5.JWT的结构是什么?
- - 1. 令牌组成
  - 2. Header
  - 3. Payload
  - 4.Signature
二 . JWT案列使用
- 1. pom.xml 导入依赖
- 2. 生成token
- 3. 验证token
三. Springboot整合JWT
- 1. 封装JWT工具类
- 2. 导入依赖
- 3. appliaction.properties
- 4. 数据库配置
- 5. Dao层
- 6. UserDaoMapper.xml
- 7. Service层
- 8. Controller层
- 9. 使用拦截器进行优化
- 9. PostMan进行测试
- 10.Github传送门

一. JWT介绍

1. JWT官网解释

JSON Web令牌（JWT）是一个开放标准（RFC 7519），它定义了一种紧凑而独立的方法，用于在各方之间安全地将信息作为JSON对象传输。由于此信息是经过数字签名的，因此可以被验证和信任。可以使用秘密（使用HMAC算法）或使用RSA或ECDSA的公用/专用密钥对对JWT进行签名。

2. JWT作用

授权

一旦用户登录，每个后续请求包括JWT,从而允许用户访问改令牌允许得路由，服务和资源，单点登录是JWT的一项功能。

信息交换

JSON Web Token 是在各个方之间安全地传输信息地方法，对JWT进行签名（公钥/私钥）。

3. 传统的Session认证

1. 认证方式

http协议本身是一种无状态的协议，而这就意味着如果用户向我们的应用提供了用户名和密码来进行用户认证，那么下一-次请求时，用户还要再一-次进行用户认证才行，因为根据http协议，我们并不能知道是哪个用户发出的请求，所以为了让我们的应用能识别是哪个用户发出的请求，我们只能在服务器存储一份用户登录的信息，这份登录信息会在响应时传递给浏览器，告诉其保存为cookie,以便下次请求时发送给我们的应用，这样我们的应用就能识别请求来自哪个用户了,这就是传统的基于session认证。

2. 认证流程

3. 暴露问题

每个用户经过我们的应用认证之后，我们的应用都要在服务端做一次记录，以方便用户下次请求的鉴别，通常而言session都是保存在内存中，而随着认证用户的增多，服务端的开销会明显增大。
用户认证之后，服务端做认证记录，如果认证的记录被保存在内存中的话，这意味着用户下次请求还必须要请求在这台服务器上，这样才能拿到授权的资源，这样在分布式的应用上，相应的限制了负载均衡器的能力。这也意味着限制了应用的扩展能力。
前后端分离在应用解耦后增加了部署的复杂性。通常用户一次请求就要转发多次。如果用session每次携带sessionid到服务器，服务器还要查询用户信息。同时如果用户很多。这些信息存储在服务器内存中，给服务器增加负担。还有就是CSRF (跨站伪造请求攻击)攻击，session是基于cookie进行用户识别的，cookie如果被截获，用户就会很容易受到跨站请求伪造的攻击。还有就是sessionid就是一个特征值，表达的信息不够丰富。不容易扩展。而且如果你后端应用是多节点部署。那么就需要实现session共享机制。不方便集群应用。

4. JWT认证

1. 认证流程

首先，前端通过Web表单将自己的用户名和密码发送到后端的接口。这一过程一般是一个HTTP POST请求。建议的方式是通过SSL加密的传输(https协议) ，从而避免敏感信息被嗅探。
后端核对用户名和密码成功后，将用户的id等其他信息作为JWT Payload (负载) ，将其与头部分别进行Base64编码拼接后签名。形成的JWT就是一个形同111. zzz . xxx的字符串。
后端将JWT字符串作为登录成功的返回结果返回给前端。前端可以将返回的结果保存在localstorage或sessionStorage上，退出登录时前端删除保存的JWT即可。
前端在每次请求时将JWT放入HTTP Header中的Authorization位。 (解决XSS和XSRF问题)
后端检查是否存在，如存在验证JWT的有效性。例如，检查签名是否正确;检查Token是否过期。
验证通过后后端使用JWT中包含的用户信息进行其他逻辑操作，返回相应结果。

2. JWT优点

可以通过URL, POST参数或者在HTTP header发送，因为数据量小，传输速度也很快
自包含(Self-contained): 负载中包含了所有用户所需要的信息，避免了多次查询数据库
因为Token是以JSON加密的形式保存在客户端的，所以JWT是跨语言的，原则.上任何web形式都支持。
不需要在服务端保存会话信息，特别适用于分布式微服务。

5.JWT的结构是什么?

1. 令牌组成

标头(Header)
有效载荷(Payload)
签名(Signature)
JWT通常如下所示xxxxx. yyyy . zzzz Header .Payload . Signature

2. Header

标头通常由两部分组成: 令牌的类型(即JWT) 和所使用的签名算法，例如HMAC SHA256或RSA。它会使用Base64 编码组成JWT结构的第一部分。
Base64是一种编码,它是可以被翻译回原来的样子来的。它并不是一种加密过程。

{"alg": "HS256",
"typ": "JWT"
}

3. Payload

令牌的第二部分是有效负载，其中包含声明。声明是有关实体(通常是用户)和其他数据的声明。同样的，它会使用Base64 编码组成JWT结构的第二部分。不要存放敏感信息在payload中。

{"username": "xizi",
"password": "1234"
}

4.Signature

1. Signature介绍

Header和payload都是使用Base64 进行编码的，前端可以解开知道里面的信息。Signature 需要使用编码后的header 和payload以及我们提供的一个密钥secret，然后使用header 中指定的签名算法(HS256) 进行签名。签名的作用是保证JWT没有被篡改过。

- HMACSHA256 (base64Ur1Encode(header) + "." + base64Ur1Encode(payload), secret)

2. 签名目的

签名的过程，实际上是对头部(header)以及负载(payload)内容进行签名，防止内容被窜改。对头部以及负载的内容解码之后进行修改，再进行编码，最后加上之前的签名组合形成新的JWT的话，那么服务器端会判断出新的头部和负载形成的签名和JWT附带上的签名是不一样的。对新的头部和负载进行签名，在不知道服务器加密时用的密钥的话，得出来的签名也是不一样的。

3. 信息安全问题

Base64是一种编码，是可逆的。在JWT中，不应该在负载里面加入任何敏感的数据。如果传输的是用户的UserID. 这个值实际上不是什么敏感内容，一般情况下被知道也是安全的。但是像密码这样的内容就不能被放在JWT中了。如果将用户的密码放在了JWT中，那么怀有恶意的第三方通Base64解码就能很快地知道你的密码了。因此JWT适合用于向Web应用传递一些非敏感信息。 JWT还经常用于设计用户认证和授权系统，甚至实现Web应用的单点登录。

二 . JWT案列使用

1. pom.xml 导入依赖

       <!--引入jwt--><dependency><groupId>com.auth0</groupId><artifactId>java-jwt</artifactId><version>3.4.0</version></dependency>

2. 生成token

    @Testvoid contextLoads() {HashMap<String, Object> map = new HashMap<>();Calendar instance = Calendar.getInstance();instance.add(Calendar.SECOND,60);String token = JWT.create().withHeader(map) //head.withClaim("userId", 21)  //payload.withClaim("username", "xizi").withExpiresAt(instance.getTime())  //过期时间 20秒之后.sign(Algorithm.HMAC256("QWER"));//签名System.out.println("-------------------------");System.out.println(token);System.out.println("-------------------------");}

生成结果

eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.
eyJleHAiOjE2MDg3NzM2NDYsInVzZXJJZCI6MjEsInVzZXJuYW1lIjoieGl6aSJ9.
Cauw34h5LKkcb6RNpY_mMfbv190v7AeKGy-BX4Xj0z0

3. 验证token

      //验证@Testpublic void test(){//创建验证对象Verification verification = JWT.require(Algorithm.HMAC256("QWER"));//签名JWTVerifier jwtVerifier = verification.build();DecodedJWT verify = jwtVerifier.verify("eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJleHAiOjE2MDg3NzQwMjEsInVzZXJJZCI6MjEsInVzZXJuYW1lIjoieGl6aSJ9.eo0iGbk4aZRyXcVH3_8GuxlTULn9VeOnGfqMeRFRV5U");Claim userId = verify.getClaim("userId");Claim username = verify.getClaim("username");System.out.println(userId.asInt());System.out.println(username.asString());System.out.println("过期时间："+verify.getExpiresAt());}

1. 常见的异常

SignatureVerificationException: 签名不一致异常
TokenExpiredException: 令牌过期异常
AlgorithmMi smatchException: 算法不匹配异常
InvalidClaimException: 失效的payload异常

三. Springboot整合JWT

1. 封装JWT工具类

package com.xizi.utils;public class JWTUtils {//自定义签名private static final  String SIGN="XIZI";/*** 生成token  三部分组成header.payload.sign**/public  static String getToken(Map<String,String> map){Calendar instance = Calendar.getInstance();instance.add(Calendar.DATE,7);  //七天  过期时间//创建jwt builderJWTCreator.Builder builder = JWT.create();//payload 遍历map中的键值对map.forEach((k,v)->{builder.withClaim(k,v );});//指定过期时间 设置编码方式String token = builder.withExpiresAt(instance.getTime()).sign(Algorithm.HMAC256(SIGN));return  token;}/*** 验证token  并且放回DecodedJWT  获取token信息方法*/public  static DecodedJWT verify(String token){//没有抛出异常 验证通过return JWT.require(Algorithm.HMAC256(SIGN)).build().verify(token);}/*** 获取token信息方法*/public static DecodedJWT getTokenInfo(String token){DecodedJWT verify = JWT.require(Algorithm.HMAC256(SIGN)).build().verify(token);return verify;}
}

2. 导入依赖

<dependencies><!--web--><dependency><groupId>org.springframework.boot</groupId><artifactId>spring-boot-starter-web</artifactId></dependency><!--引入jwt--><dependency><groupId>com.auth0</groupId><artifactId>java-jwt</artifactId><version>3.4.0</version></dependency><!--引入mybais--><dependency><groupId>org.mybatis.spring.boot</groupId><artifactId>mybatis-spring-boot-starter</artifactId><version>2.1.3</version></dependency><!--Druid--><dependency><groupId>com.alibaba</groupId><artifactId>druid</artifactId><version>1.1.13</version></dependency><!--mysql--><dependency><groupId>mysql</groupId><artifactId>mysql-connector-java</artifactId><version>5.1.47</version></dependency><!--lombok--><dependency><groupId>org.projectlombok</groupId><artifactId>lombok</artifactId><version>1.18.6</version></dependency></dependencies>

3. appliaction.properties

server.port=8080spring.datasource.url=jdbc:mysql://localhost:3306/jwt?serverTimezone=UTC&useUnicode=true&characterEncoding=utf-8
spring.datasource.driver-class-name=com.mysql.jdbc.Driver
spring.datasource.username=root
spring.datasource.password=1234
spring.datasource.type=com.alibaba.druid.pool.DruidDataSourcemybatis.type-aliases-package=com.xizi.pojo
mybatis.mapper-locations=classpath:com/xizi/mapper/*.xmllogging.level.com.xizi.dao=debug

4. 数据库配置

简单的一张表

5. Dao层

package com.xizi.dao;import com.xizi.pojo.User;
import org.apache.ibatis.annotations.Mapper;@Mapper
public interface UserDao {User login(User user);
}

6. UserDaoMapper.xml

简单的一条查询语句

<?xml version="1.0" encoding="UTF-8" ?>
<!DOCTYPE mapperPUBLIC "-//mybatis.org//DTD Config 3.0//EN""http://mybatis.org/dtd/mybatis-3-mapper.dtd">
<mapper namespace="com.xizi.dao.UserDao"><select id="login" parameterType="User" resultType="User">select * from user where name=#{name} and password=#{password}</select></mapper>

7. Service层

UserService

package com.xizi.service;import com.xizi.pojo.User;public interface UserService {User login(User user);
}

UserServiceImpl

package com.xizi.service;@Service
@Transactional
public class UserServiceImpl implements UserService {@Resource@Autowiredprivate UserDao userDao;@Override@Transactional(propagation = Propagation.SUPPORTS)public User login(User user) {//根据接收用户名密码查询数据库User user1 = userDao.login(user);if (user1!=null){return user1;}throw new RuntimeException("登录失败~~");}
}

8. Controller层

package com.xizi.controller;@RestController
@Slf4j
public class UserController {@Autowiredprivate UserService userService;@GetMapping("/user/login")public Map<String,Object> login(User user){log.info("用户名:[{}]", user.getName());log.info("密码:[{}]", user.getPassword());HashMap<String, Object> map = new HashMap<>();try{User userDB = userService.login(user);Map<String, String> payload = new HashMap<>();payload.put("id",userDB.getId().toString());payload.put("name",userDB.getName());//生成JWT的令牌String token = JWTUtils.getToken(payload);map.put("state",true);map.put("msg","登录成功");map.put("token",token);  //响应token}catch (Exception e){map.put("state",false);map.put("msg","登录失败");}return map;}@PostMapping("/user/test")public Map<String,Object> test(HttpServletRequest request){HashMap<String, Object> map = new HashMap<>();//处理自己的业务逻辑String token=request.getHeader("token");DecodedJWT verify = JWTUtils.verify(token);log.info("用户id:[{}]",verify.getClaim("id").asString());log.info("用户name:[{}]",verify.getClaim("name").asString());map.put("state",true);map.put("msg","请求成功");map.put("id",verify.getClaim("id").asString());map.put("msg",verify.getClaim("name").asString());return map;}
}

9. 使用拦截器进行优化

自定义拦截器

package com.xizi.interceptors;// 自定义拦截器
public class JWTInterceptor implements HandlerInterceptor {@Overridepublic boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {//获取请求头header中的令牌String token = request.getHeader("token");HashMap<String, Object> map = new HashMap<>();try {DecodedJWT verify = JWTUtils.verify(token);return  true;   //放行}catch (SignatureVerificationException e){e.printStackTrace();map.put("msg","无效签名");} catch (TokenExpiredException e) {e.printStackTrace();map.put("msg","token过期");}catch (AlgorithmMismatchException e){e.printStackTrace();map.put("msg","token算法不一致");}catch (Exception e){e.printStackTrace();map.put("msg","token无效");}map.put("state",false); //设置状态//将map  转为json  jacksonString json=new ObjectMapper().writeValueAsString(map);response.setContentType("application/json;charset=UTF-8");response.getWriter().println(json);return false;}
}

添加自定义拦截器到项目中

package com.xizi.config;import com.xizi.interceptors.JWTInterceptor;
import org.springframework.context.annotation.Configuration;
import org.springframework.web.servlet.config.annotation.InterceptorRegistry;
import org.springframework.web.servlet.config.annotation.WebMvcConfigurer;@Configuration
public class InterceptorConfig implements WebMvcConfigurer {//添加自定义拦截器@Overridepublic void addInterceptors(InterceptorRegistry registry) {registry.addInterceptor(new JWTInterceptor())
//                .addPathPatterns("/user/test")    //其他接口token都验证.addPathPatterns("/**")          //所有接口token都验证.excludePathPatterns("/user/**");  //所有的用户接口都放行}
}

9. PostMan进行测试

http://localhost:8080/user/login?name=xizi&password=1234

在headers 添加token进行测试

http://localhost:8080/user/test

http://localhost:8080/test/test

@RestController
public class Controller {@GetMapping("/test/test")public String test(String username, HttpServletRequest request){request.getSession().setAttribute("username",username );return "login-ok";}
}

10.Github传送门

点击直接下载

Java安全框架---JWT详解相关推荐

java定时任务框架elasticjob详解
这篇文章主要介绍了java定时任务框架elasticjob详解,Elastic-Job是ddframe中dd-job的作业模块中分离出来的分布式弹性作业框架.该项目基于成熟的开源产品Quartz和Zo ...
Java Spring框架入门详解教程【多测师_何sir】
Spring框架入门详解教程 spring概述 spring结构 spring IOC spring DI spring概述 Spring是一个非常活跃的开源框架, 它是一个基于IOC和AOP来构架多 ...
Java自动日志监控框架auto-log详解
Java自动日志监控框架auto-log详解 1. 需求概述 2. auto-log简介 2.1 auto-log定义 2.2 auto-log目的 2.3 auto-log特性 2.4 注解说明 2 ...
java框架魔乐_16 魔乐科技 SpringBoot框架开发详解
资源内容: 16 魔乐科技 SpringBoot框架开发详解|____springboot开发代码.rar|____第一章:SpringBoot入门 |____2. SpringBo ...
Java单元测试之JUnit4详解
2019独角兽企业重金招聘Python工程师标准>>> Java单元测试之JUnit4详解与JUnit3不同,JUnit4通过注解的方式来识别测试方法.目前支持的主要注解有: @B ...
你真的弄明白了吗？Java并发之AQS详解
你真的弄明白了吗?Java并发之AQS详解带着问题阅读 1.什么是AQS,它有什么作用,核心思想是什么 2.AQS中的独占锁和共享锁原理是什么,AQS提供的锁机制是公平锁还是非公平锁 3.AQS在J ...
Java RMI远程方法调用详解
Java RMI远程方法调用详解 [尊重原创,转载请注明出处]http://blog.csdn.net/guyuealian/article/details/51992182 一.Java R ...
Java基础学习总结（24）——Java单元测试之JUnit4详解
Java单元测试之JUnit4详解与JUnit3不同,JUnit4通过注解的方式来识别测试方法.目前支持的主要注解有: @BeforeClass 全局只会执行一次,而且是第一个运行 @Before ...
集合框架 Queue---BlockingQueue详解
转载自集合框架 Queue---BlockingQueue详解摘要:本例介绍一个特殊的队列:BlockingQueue,如果BlockingQueue是空的,从BlockingQueue取东西的 ...

Java安全框架---JWT详解