JWT令牌学习

目前正在学习尚硅谷的尚融宝项目，在这里记录一下JWT学习

一、访问令牌的类型

二、JWT令牌

1、什么是JWT令牌

JWT是JSON Web Token的缩写，即JSON Web令牌，是一种自包含令牌。

JWT的使用场景：

• 一种情况是webapi，类似之前的阿里云播放凭证的功能
• 另一种情况是多web服务器下实现无状态分布式身份验证
  • JWT官网有一张图描述了JWT的认证过程

2、JWT令牌的组成

该对象为一个很长的字符串，字符之间通过"."分隔符分为三个子串。

每一个子串表示了一个功能块，总共有以下三个部分：JWT头、有效载荷和签名

2.1 JWT头

JWT头部分是一个描述JWT元数据的JSON对象，通常如下所示。

{
  "alg": "HS256",
  "typ": "JWT"
}

在上面的代码中，alg属性表示签名使用的算法，默认为HMAC SHA256（写为HS256）；typ属性表示令牌的类型，JWT令牌统一写为JWT。最后，使用Base64 URL算法将上述JSON对象转换为字符串保存。

2.2 有效载荷

有效载荷部分，是JWT的主体内容部分，也是一个JSON对象，包含需要传递的数据。 JWT指定七个默认字段供选择。

sub: 主题
iss: jwt签发者
aud: 接收jwt的一方
iat: jwt的签发时间
exp: jwt的过期时间，这个过期时间必须要大于签发时间
nbf: 定义在什么时间之前，该jwt都是不可用的.
jti: jwt的唯一身份标识，主要用来作为一次性token,从而回避重放攻击。

除以上默认字段外，我们还可以自定义私有字段，如下例：

{
  "name": "Helen",
  "admin": true,
  "avatar": "helen.jpg"
}

请注意，默认情况下JWT是未加密的，任何人都可以解读其内容，因此不要构建隐私信息字段，存放保密信息，以防止信息泄露。

JSON对象也使用Base64 URL算法转换为字符串保存。

2.3 签名哈希

签名哈希部分是对上面两部分数据签名，通过指定的算法生成哈希，以确保数据不会被篡改。

首先，需要指定一个密码（secret）。该密码仅仅为保存在服务器中，并且不能向用户公开。然后，使用标头中指定的签名算法（默认情况下为HMAC SHA256）根据以下公式生成签名。

HMACSHA256(base64UrlEncode(header) + "." + base64UrlEncode(claims), secret)    ==>   签名hash

在计算出签名哈希后，JWT头，有效载荷和签名哈希的三个部分组合成一个字符串，每个部分用"."分隔，就构成整个JWT对象。

2.4 Base64URL算法

如前所述，JWT头和有效载荷序列化的算法都用到了Base64URL。该算法和常见Base64算法类似，稍有差别。

作为令牌的JWT可以放在URL中（例如api.example/?token=xxx）。 Base64中用的三个字符是"+"，"/"和"="，由于在URL中有特殊含义，因此Base64URL中对他们做了替换："="去掉，"+"用"-"替换，"/"用"_"替换，这就是Base64URL算法。

注意：base64编码，并不是加密，只是把明文信息变成了不可见的字符串。但是其实只要用一些工具就可以把base64编码解成明文，所以不要在JWT中放入涉及私密的信息。

三、代码

3.1 引入依赖

<dependencies>
    <!-- JWT -->
    <dependency>
        <groupId>io.jsonwebtoken</groupId>
        <artifactId>jjwt</artifactId>
        <version>0.7.0</version>
    </dependency>

    <!--junit-->
    <dependency>
        <groupId>junit</groupId>
        <artifactId>junit</artifactId>
        <version>4.12</version>
    </dependency>

</dependencies>

3.2 生成token

    // 一天
    private static long tokenExpiration = 1000 * 60 * 60 * 24;

    //密钥
    private static String tokenSignKey = "@guigu123";



    @Test
    public void testCreateToken() {

        JwtBuilder jwtBuilder = Jwts.builder();
        // JWT的组成：头部、载荷、签名
        String jwtToken = jwtBuilder
                //头
                .setHeaderParam("alg", "HS256")
                .setHeaderParam("typ", "JWT")
                //载荷：自定义信息
                .claim("nickname", "ccy")
                .claim("avatar", "1.jpg")
                .claim("role", "admin")
                //载荷默认信息
                .setSubject("guli-user") //令牌主题
                .setIssuer("atguigu")//签发者
                .setAudience("atguigu")//接收者
                .setIssuedAt(new Date())//签发时间
                .setExpiration(new Date(System.currentTimeMillis() + tokenExpiration)) //过期时间
                .setNotBefore(new Date(System.currentTimeMillis() + 20*1000)) //20秒后可用
                .setId(UUID.randomUUID().toString())

                //签名：密钥
                .signWith(SignatureAlgorithm.HS256, tokenSignKey)

                //组装JWT
                .compact();

        System.out.println("token: " + jwtToken);

    }

3.3 解析token

    // 一天
    private static long tokenExpiration = 1000 * 60 * 60 * 24;

    //密钥
    private static String tokenSignKey = "@guigu123";



    @Test
    public void testGetUserInfo() {

        //JWT字符串
        String token = "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJuaWNrbmFtZSI6ImNjeSIsImF2YXRhciI6IjEuanBnIiwicm9sZSI6ImFkbWluIiwic3ViIjoiZ3VsaS11c2VyIiwiaXNzIjoiYXRndWlndSIsImF1ZCI6ImF0Z3VpZ3UiLCJpYXQiOjE3NDU2NzcyODYsImV4cCI6MTc0NTc2MzY4NiwibmJmIjoxNzQ1Njc3MzA2LCJqdGkiOiJjMWRlYzExMi0yOGQ0LTQyYmUtYTUyOS0xNjFhM2RiMzExZWQifQ.SRua_iyNxG0E5rggZnSCNjsBAE6CSqsqIjTyst45mVs";

        //解析JWT字符串
        JwtParser jwtParser = Jwts.parser();
        Jws<Claims> claimsJws = jwtParser.setSigningKey(tokenSignKey).parseClaimsJws(token);
        //载荷部分
        Claims claims = claimsJws.getBody();
        String nickname = (String) claims.get("nickname");
        String avatar = (String) claims.get("avatar");
        String role = (String) claims.get("role");

        System.out.println("nickname: " + nickname);
        System.out.println("avatar: " + avatar);
        System.out.println("role: " + role);

        String id = claims.getId();
        System.out.println(id);

    }

3.4 过期异常问题

这个问题是因为token过期了，解决方法是解析新的token