JWT（JSON Web Token）详解：Java中安全传输信息的令牌策略

JWT（JSON WEB TOKEN）详解

文章目录

一、定义

Java 中，JWT（JSON Web Token）是一种令牌。这种令牌用于在客户端和服务器之间安全地传输信息。它是紧凑且独立的。JWT 常被用于认证和授权场景，尤其在无状态的 Web 应用程序里。

理解：JWT实际上就是令牌的一种生成策略

二、TOKNE的理解

我们在做前后分离的项目时，通常情况下，前端登陆之后，后台会向前端返回一个令牌。

这个令牌就叫token。

当登陆之后要访问其他资源时，我们每次都需携带这个 token 去进行身份认证。若认证成功，就允许访问资源；若认证不成功，就不允许访问资源。

简单的说就是令牌的一种生成策略

不要认为 token 有多么高深。实际上，这个 token 就是一个字符串。

只不过这个字符串拥有一定的生成格式（结构）

签名：用来验证消息在传输过程中是否被篡改过。签名是通过对头部进行编码并使用特定算法进行加密生成的，同时也对负载部分进行编码并使用该特定算法进行加密生成。特定算法如 HMAC SHA256。

最终的JWT的样式：

头信息.载荷.签名

样式示例：

我持有一个字符串，该字符串的内容为 "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9" 。 这个字符串具有特定的格式和意义。 它可能与某种加密或身份验证相关的机制有关。 具体的用途和含义需要根据相关的上下文和应用场景来确定。.我是一个由字节跳动公司独立研发训练的 AI。我可以回答各种问题并与你交流，很高兴为你服务。你可以问我一些关于历史、科学、技术、生活等方面的问题，我会尽力回答你的需求。.以下是改写后的句子：SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV 后面跟着一个名为_adQssw5c 的东西。

头部信息

{
  "alg": "HS256",
  "typ": "JWT"
}

第一部分是如何生成的呢?

上述的JSON格式字符进行base64编码形成第一部分

载荷

{
  "sub": "1234567890",// 注册声明
  "name": "John Doe",// 公共声明
  "admin": true // 私有声明
}

iss: jwt签发者

sub: jwt所面向的用户

aud: 接收jwt的一方

exp: jwt的过期时间，这个过期时间必须要大于签发时间

nbf: 定义在什么时间之前，该jwt都是不可用的.

iat: jwt的签发时间

jti 是 jwt 的唯一身份标识，它主要被用于作为一次性 token，以此来避免重放攻击。

第二部分是用于存放业务数据的。其中，用户名和用户 id 就存储在第二部分。

第二部分的JSON格式进行Base64编码形成第二部分

签名

第一部分进行 HS256 的算法，然后加上密钥，生成第二部分，最后生成第三部分。

四、JWT的使用

在 Java 领域，像 jjwt（Java JWT）这样较为常见的库能够被用来生成以及解析 JWT。

1. 添加依赖

如果使用Maven，可以在pom.xml中添加如下依赖：

<dependency>
    <groupId>io.jsonwebtokengroupId>
    <artifactId>jjwt-apiartifactId>
    <version>0.11.5version>
dependency>
<dependency>
    <groupId>io.jsonwebtokengroupId>
    <artifactId>jjwt-implartifactId>
    <version>0.11.5version>
    <scope>runtimescope>
dependency>
<dependency>
    <groupId>io.jsonwebtokengroupId>
    <artifactId>jjwt-jacksonartifactId>
    <version>0.11.5version>
    <scope>runtimescope>
dependency>

2. 生成JWT

使用jjwt库生成JWT的示例代码如下：

import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;
import java.util.Date;
public class JwtExample {
    private static final String SECRET_KEY = "mySecretKey";
    public static void main(String[] args) {
        String jwt = Jwts.builder()
            .setSubject("1234567890")
            .setIssuedAt(new Date())
            .setExpiration(new Date(System.currentTimeMillis() + 86400000))  // 1 day expiration
            .signWith(SignatureAlgorithm.HS256, SECRET_KEY)
            .compact();
        System.out.println("Generated JWT: " + jwt);
    }
}

3. 解析JWT

解析JWT并提取其中的信息：

import io.jsonwebtoken.Claims;
import io.jsonwebtoken.Jwts;
public class JwtExample {
    private static final String SECRET_KEY = "mySecretKey";
    public static void main(String[] args) {
        String jwt = "your.jwt.token.here";
        Claims claims = Jwts.parser()
            .setSigningKey(SECRET_KEY)
            .parseClaimsJws(jwt)
            .getBody();
        System.out.println("Subject: " + claims.getSubject());
        System.out.println("Issued at: " + claims.getIssuedAt());
        System.out.println("Expiration: " + claims.getExpiration());
    }
}