本文介绍了如何在RESTful API中使用JWT进行无状态的身份验证。讲解了JWT的组成部分和安全性，展示了服务端如何使用jjwt库创建RESTful接口，包括登录/注册和用户信息接口，并实现Token的统一校验。客户端部分讨论了Android使用Retrofit进行REST请求的方法。同时，文章指出了JWT的缺陷——无法主动注销，适合短期验证场景，建议根据需求合理设置过期时间。
JWT设计
RESTful架构的前后端，经常会使用Token令牌做身份验证，JWT(JSON Web Token)是一种简单易用的Token标准，适合在应用中做无状态的API身份认证。
jwt由Header、Payload、Signature三部分组成，使用 . 分割开，一个JWT形式：
Header.Payload.Signature
这三部分分别对应的是加密算法、携带的用户信息、加密后的字符串（签名）。
Jwt自带签名，能够防止伪造或篡改，但要防止token被窃取还要配合https使用。
下面我们用Jwt开发一个前后端交互系统。
JWT服务端
这里使用jjwt开源库生成token：
创建RESTful接口
Server端基于SpringBoot开发，提供生成token和校验token的接口：
@PostMapping("/login")
B
扫一扫
955
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
