Springboot中如何使用JWT令牌认证技术？

• 主题：JWT令牌认证技术
• 作者：格智学院
• 联系：[email protected]

#JWT令牌认证技术 #

什么是JWT?

JSON Web Token（JWT）是一个开放标准（RFC 7519），它定义了一种紧凑的、自包含的方式，用于在各方之间作为JSON对象安全地传输信息。该信息可以被验证和信任，因为它是数字签名的。JWT可以使用秘密（使用HMAC算法）或公钥/私钥对使用RSA或ECDSA来签名。

虽然JWT可以加密，但也提供保密各方之间，我们将重点放在签名令牌。签名的令牌可以验证包含在其中的声明的完整性，而加密的令牌隐藏这些声明以防止其他各方查阅变更。当令牌使用公钥/私钥对签名时，签名也证明只有持有私钥的方才是签名方。

JWT的结构

JWT是由三段信息构成的，将这三段信息文本用.链接一起就构成了JWT字符串。
就像这样:

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ

JWT包含了三部分：
Header 头部(标题包含了令牌的元数据，并且包含签名和/或加密算法的类型) ；Payload 负载 (类似于飞机上承载的物品)；Signature 签名/签证

###JWT头
JWT头部分是一个描述JWT元数据的JSON对象，通常如下所示。

{

"alg": "HS256",

"typ": "JWT"

}

在上面的代码中，alg属性表示签名使用的算法，默认为HMAC SHA256（写为HS256）；typ属性表示令牌的类型，JWT令牌统一写为JWT。

最后，使用Base64 URL算法将上述JSON对象转换为字符串保存。
###有效载荷
有效载荷部分，是JWT的主体内容部分，也是一个JSON对象，包含需要传递的数据。 JWT指定七个默认字段供选择。

iss：发行人

exp：到期时间

sub：主题

aud：用户

nbf：在此之前不可用

iat：发布时间

jti：JWT ID用于标识该JWT

除以上默认字段外，我们还可以自定义私有字段，如下例：

{

"loginName": "zs",

"userName": "张三",

"admin": true

}

请注意，默认情况下JWT是未加密的，任何人都可以解读其内容，因此不要构建隐私信息字段，存放保密信息，以防止信息泄露。

JSON对象也使用Base64 URL算法转换为字符串保存。

###签名哈希

签名哈希部分是对上面两部分数据签名，通过指定的算法生成哈希，以确保数据不会被篡改。

首先，需要指定一个密码（secret）。该密码仅仅为保存在服务器中，并且不能向用户公开。然后，使用标头中指定的签名算法（默认情况下为HMAC SHA256）根据以下公式生成签名。

HMACSHA256(base64UrlEncode(header) + "." + base64UrlEncode(payload) , secret)

在计算出签名哈希后，JWT头，有效载荷和签名哈希的三个部分组合成一个字符串，每个部分用"."分隔，就构成整个JWT对象。

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.
eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.
TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ

为什么使用JWT？

随着技术的发展，分布式web应用的普及，通过session管理用户登录状态成本越来越高，因此慢慢发展成为token的方式做登录身份校验，然后通过token去取redis中的缓存的用户信息，随着之后jwt的出现，校验方式更加简单便捷化，无需通过redis缓存，而是直接根据token取出保存的用户信息，以及对token可用性校验，单点登录更为简单。

JWT架构图：

##JWT工作机制？

在身份验证中，当用户使用其凭据成功登录时，将返回JSON Web Token（即：JWT）。由于令牌是凭证，因此必须非常小心以防止出现安全问题。一般情况下，不应将令牌保留的时间超过要求。理论上超时时间越短越好。

每当用户想要访问受保护的路由或资源时，用户代理应该使用Bearer模式发送JWT，通常在Authorization header中。标题内容应如下所示：

Authorization: Bearer 	

在某些情况下，这可以作为无状态授权机制。服务器的受保护路由将检查Authorization header中的有效JWT ，如果有效，则允许用户访问受保护资源。如果JWT包含必要的数据，则可以减少查询数据库或缓存信息。
如果在Authorization header中发送令牌，则跨域资源共享（CORS）将不会成为问题，因为它不使用cookie。

注意：使用签名令牌，虽然他们无法更改，但是令牌中包含的所有信息都会向用户或其他方公开。这意味着不应该在令牌中放置敏感信息。

##如何使用JWT?
###创建springboot工程

在IDEA中构建一个springboot的web工程，在对应的pom.xml文件中引入以下内容：

    4.0.0
    
        org.springframework.boot
        spring-boot-starter-parent
        2.2.1.RELEASE
         
    
    com.gezhi
    spring-boot-jwt
    0.0.1-SNAPSHOT
    spring-boot-jwt
    Demo project for Spring Boot

    
        1.8
    

    

        
        
            org.springframework.boot
            spring-boot-starter-data-redis
        
        
        
            com.auth0
            java-jwt
            3.4.1
        
        
        
            org.springframework.boot
            spring-boot-starter-web
        
        
        
            org.springframework.boot
            spring-boot-devtools
            runtime
            true
        
        
        
            org.projectlombok
            lombok
            true
        
        
        
            com.google.guava
            guava
            18.0
        
        
            org.springframework.boot
            spring-boot-starter-test
            test
            
                
                    org.junit.vintage
                    junit-vintage-engine
                
            
        
    

    
        
            
                org.springframework.boot
                spring-boot-maven-plugin
            
        
    

###编写application.properties配置文件

server.port=80
server.servlet.context-path=/boots
#jwt设置
#私钥
com.gezhi.springbootjwt.secret=puxubo
#发布者
com.gezhi.springbootjwt.issuer=www.gezhi100.com
#主题
com.gezhi.springbootjwt.subject=userLoginToken
#签发给谁？
com.gezhi.springbootjwt.audience=APP
#令牌过期时间
com.gezhi.springbootjwt.hour=1
#令牌刷新时间
com.gezhi.springbootjwt.minute=30

# Redis数据库索引（默认为0）
spring.redis.database=0  
# Redis服务器地址
spring.redis.host=127.0.0.1
# Redis服务器连接端口
spring.redis.port=6379  
# Redis服务器连接密码（默认为空）
spring.redis.password=123456
# 连接池最大连接数（使用负值表示没有限制）
spring.redis.jedis.pool.max-active=200
# 连接超时时间（毫秒）
spring.redis.timeout=5000

###构建项目包结构

包结构说明： annotation 注解包，bean 实体包，configure 配置包，exception 异常包，interceptor 拦截器包，
jwt JWT工具包，message 返回消息包，sysmag 系统管理包，usermag 用户管理包，util 工具包

代码说明

####annotation包

FieldMarker 该注解的作用：主要在于说明UserBean中那些字段是JWT的负载字段

package com.gezhi.springbootjwt.annotation;

import java.lang.annotation.ElementType;
import java.lang.annotation.Retention;
import java.lang.annotation.RetentionPolicy;
import java.lang.annotation.Target;

/**
 * @author 格智学院
 * @version JDK1.8
 * 开发时间  2019/11/26 0026 09:19
 * 功能描述 标记JWT 字段 用在JavaBean身上
 * 用来描述 对象与Map 进行转换时 属性是否需要忽略
 */
@Retention(RetentionPolicy.RUNTIME)
@Target({ElementType.METHOD, ElementType.FIELD, ElementType.PARAMETER})
public @interface FieldMarker {

    /**
    * 功能描述 属性的名称
    * 开发时间 2019/11/26 0026 上午 11:02
    */
    String value();
}

####bean包

UserBean 是一个JavaBean，代表用户资源，此类中某些属性可以作为JWT负载中的一部分

package com.gezhi.springbootjwt.bean;

import com.gezhi.springbootjwt.annotation.FieldMarker;
import lombok.Data;

import java.io.Serializable;

/**
 * @author 格智学院
 * @version JDK1.8
 * 开发时间  2019/11/26 0026 09:02
 * 功能描述
 */
@Data
public class UserBean implements Serializable {

    /**
    * 开发时间 2019/11/26 0026 上午 9:50
    */
    private Long id;
    /**
    * 功能描述 用户名
     * 将userName作为token令牌中的一部分
     * 一定不要把过于敏感的数据，作为令牌中的一部分，切记
    * 开发时间 2019/11/26 0026 上午 9:03
    */
    @FieldMarker(value="userName")
    private String userName;
    /**
    * 功能描述 登录名
    * 开发时间 2019/11/26 0026 上午 9:04
    */
    private String loginName;
    /**
    * 功能描述 密码
    * 开发时间 2019/11/26 0026 上午 9:04
    */
    private String password;
    /**
    * 功能描述 年龄
    * 开发时间 2019/11/26 0026 上午 9:04
    */
    private Integer age;

}

####configure包

RedisConfig 类，通过@Configuration标记为一个spring配置类， 使用@Bean向容器中装配一个RedisTemplate的模板实例

package com.gezhi.springbootjwt.configure;

import com.fasterxml.jackson.annotation.JsonAutoDetect;
import com.fasterxml.jackson.annotation.PropertyAccessor;
import com.fasterxml.jackson.databind.ObjectMapper;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.data.redis.connection.RedisConnectionFactory;
import org.springframework.data.redis.core.RedisTemplate;
import org.springframework.data.redis.serializer.Jackson2JsonRedisSerializer;
import org.springframework.data.redis.serializer.StringRedisSerializer;

/**
 * @author 格智学院
 * @version JDK1.8
 * 开发时间  2019/11/26 0026 11:31
 * 功能描述
 */
@Configuration
public class RedisConfig {

    /**
     * 功能描述: 向容器中添加redis模板类
     * @param factory 链接工厂
     * @return
     * 开发时间 2019/11/29 0029 上午 11:05
     */
    @Bean
    @SuppressWarnings("all")
    public RedisTemplate redisTemplate(RedisConnectionFactory factory) {
        RedisTemplate template = new RedisTemplate();
        template.setConnectionFactory(factory);
        Jackson2JsonRedisSerializer jackson2JsonRedisSerializer = new Jackson2JsonRedisSerializer(Object.class);
        ObjectMapper om = new ObjectMapper();
        om.setVisibility(PropertyAccessor.ALL, JsonAutoDetect.Visibility.ANY);
        om.enableDefaultTyping(ObjectMapper.DefaultTyping.NON_FINAL);
        jackson2JsonRedisSerializer.setObjectMapper(om);

        /*制定key 与value 的 序列化规则*/

        StringRedisSerializer stringRedisSerializer = new StringRedisSerializer();
        // key采用String的序列化方式
        template.setKeySerializer(stringRedisSerializer);
        // hash的key也采用String的序列化方式
        template.setHashKeySerializer(stringRedisSerializer);
        // value序列化方式采用jackson
        template.setValueSerializer(jackson2JsonRedisSerializer);
        // hash的value序列化方式采用jackson
        template.setHashValueSerializer(jackson2JsonRedisSerializer);
        template.afterPropertiesSet();
        return template;
    }
}

WebMvcConfig 类，通过@Configuration标记为一个spring配置类， 使用@Bean向容器中装配一个LoginInterceptor的模板实例，拦截器主要用来做JWT令牌认证

package com.gezhi.springbootjwt.configure;

import com.gezhi.springbootjwt.interceptor.LoginInterceptor;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.web.servlet.config.annotation.InterceptorRegistry;
import org.springframework.web.servlet.config.annotation.WebMvcConfigurer;

/**
 * @author 格智学院
 * @version JDK1.8
 * 开发时间  2019/11/26 0026 09:02
 * 功能描述 springmvc补充配置
 */
@Configuration
public class WebMvcConfig implements WebMvcConfigurer{

    /**
     * 功能描述: 向容器中添加拦截器
     * @return
     * 开发时间 2019/11/29 0029 上午 11:04
     */
	@Bean
    public LoginInterceptor loginInterceptor(){
        return new LoginInterceptor();
    }
    /**
     * 功能描述: 添加拦截规则
     * @param registry
     * @return
     * 开发时间 2019/11/29 0029 上午 11:04
     */
	 @Override
    public void addInterceptors(InterceptorRegistry registry) {
        registry.addInterceptor(loginInterceptor())
                .addPathPatterns("/**")
                .excludePathPatterns("/sys/login")
                .excludePathPatterns("/sys/logout")
                .excludePathPatterns("/static/**");
    }
}

####exception异常处理包

异常，代表后端系统可能存在的问题。可能是持久层的，也可能是业务层的，当然也可能是表现的，还有可能是其他组件的。但不管是哪个层的，都要注意，不要抛给前端（特别是：不要让用户看到，体验感很重要！！！）

ExceptionHandle 全局异常处理类，通过@RestControllerAdvice使用AOP编程原理将通知定义在表现层，只要表现层有异常都可以被该处理类监听到，从而可以从容的在此处对"异常"进行加工处理！！！

package com.gezhi.springbootjwt.exception;

import javax.servlet.http.HttpServletResponse;

import com.gezhi.springbootjwt.exception.customer.CustomerException;
import com.gezhi.springbootjwt.message.ReturnMessage;
import com.gezhi.springbootjwt.message.ReturnMessageUtil;
import org.slf4j.Logger;
import org.slf4j.LoggerFactory;
import org.springframework.web.bind.annotation.ExceptionHandler;
import org.springframework.web.bind.annotation.RestControllerAdvice;


/**
 * @author 格智学院
 * @version JDK1.8
 * 开发时间  2019/11/26 0026 09:02
 * 功能描述 全局异常处理类
 */
@RestControllerAdvice
public class ExceptionHandle {

	private final static Logger logger = LoggerFactory.getLogger(ExceptionHandle.class);

	@ExceptionHandler(value = Exception.class)
	public ReturnMessage