5分钟搞定JWT Token生成与校验：Spring Boot实战指南（附完整代码）-CSDN博客

从零到一：在Spring Boot中构建坚如磐石的JWT认证体系

如果你正在构建一个需要用户登录的现代Web应用或API服务，那么身份认证（Authentication）和授权（Authorization）是你无法绕开的核心议题。过去，我们依赖笨重的Session，在服务器端维护状态，这不仅给服务器带来内存压力，也让水平扩展变得复杂。如今，一种名为JWT（JSON Web Token）的无状态令牌方案，以其简洁、自包含和易于分布式部署的特性，成为了微服务架构和前后端分离应用中的宠儿。但仅仅知道JWT的概念远远不够，如何在一个真实的Spring Boot项目中，安全、高效、优雅地落地JWT，才是开发者们真正关心的痛点。

这篇文章不是一篇蜻蜓点水式的概念介绍，而是一份面向实战的工程指南。我们将彻底抛开那些“Hello World”级别的示例，深入到一个生产可用的Spring Boot项目中，从依赖引入、密钥管理、Token生成与校验，到如何与Spring Security无缝集成，最后再探讨一些高级话题如刷新令牌和黑名单机制。我们的目标很明确：让你在阅读和实践之后，能够胸有成竹地在自己的项目中设计和实现一套健壮的JWT认证体系。无论你是正在为创业项目搭建第一个用户系统，还是在为庞大的企业级应用重构认证模块，这里的内容都将提供直接的参考价值。

1. 基石：理解JWT的核心结构与安全考量

在动手写代码之前，我们必须对JWT的“五脏六腑”有一个清晰的认识。一个典型的JWT由三部分组成，以点（.）分隔：Header.Payload.Signature。

Header（头部）：通常由两部分组成，令牌类型（即JWT）和所使用的签名算法，如HS256或RS256。这部分会进行Base64Url编码。
Payload（载荷）：包含声明（Claims）。声明是关于实体（通常是用户）和其他数据的陈述。有三种类型的声明：注册声明（预定义但非强制，如iss签发者、exp过期时间）、公共声明和私有声明。这是存放用户ID、角色等信息的地方。同样会进行Base64Url编码。
Signature（签名）：这是整个令牌安全性的关键。签名通过对编码后的头部、编码后的载荷、一个密钥（Secret）使用头部声明的算法计算得出。签名用于验证消息在传递过程中没有被篡改，对于使用私钥签名的令牌，它还可以验证发送方的身份。

一个完整的JWT看起来像这样：

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

注意：JWT的头部和载荷仅仅是Base64Url编码，并非加密。任何人都可以解码并查看其内容。因此，绝对不要在JWT的载荷中存放任何敏感信息，如用户密码、信用卡号等。其安全性完全依赖于签名的验证。

在算法选择上，我们主要面对两种：

HMAC（如HS256）：使用同一个密钥进行签名和验证。对称加密，速度快，但密钥管理是单点风险，需要在服务端安全存储。
RSA（如RS256）：使用私钥签名，公钥验证。非对称加密，更安全，公钥可以安全分发，常用于多服务场景。

对于大多数内部或中小型应用，HS256因其简单高效是很好的起点。本文也将以HS256为例展开。

2. 实战：在Spring Boot中集成JWT生成与校验

让我们开始构建。首先，创建一个标准的Spring Boot项目（本文基于Spring Boot 3.x，但核心思想兼容2.x）。

2.1 项目初始化与依赖引入

使用你喜欢的IDE或Spring Initializr创建项目，除了基础的Spring Web依赖，我们还需要引入JWT处理的库。在Java领域，jjwt库是一个广泛使用、API友好的选择。

对于Maven项目，在pom.xml中添加依赖：

<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-api</artifactId>
    <version>0.12.3</version>
</dependency>
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-impl</artifactId>
    <version>0.12.3</version>
    <scope>runtime</scope>
</dependency>
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-jackson</artifactId>
    <version>0.12.3</version>
    <scope>runtime</scope>
</dependency>

提示：jjwt的0.12.x版本是一个重要的更新，其API相较于旧版本（如0.11.x）有较大变化，更加安全且符合现代Java习惯。请确保使用较新版本。

2.2 核心工具类：JwtUtil的设计

我们将创建一个JwtUtil工具类，它负责所有与JWT相关的核心操作：生成、解析、校验。密钥的管理是重中之重，我们将其放在配置文件中。

1. 应用配置 (application.yml):

app:
  jwt:
    secret: your-256-bit-secret-your-256-bit-secret # 至少32字符的HS256