JWT认证原理
基于HTTP协议的软件认证方式有很多，鉴于HTTP协议无状态性，所有的认证方式必须解决HTTP请求有状态性问题，也就是如何创建一个HTTP上下文，将区分哪些HTTP请求来自同一用户操作。传统解决方式是生成HTTP会话，并将会话ID存放在客户端浏览器中的Cookie或者URL重写这两种方式，伴随系统实现方式变化，越来越多的系统使用前后端分离的架构，系统遭受XSS，XSRF攻击的可能性也越大。现在JWT认证被广泛应用。下面介绍JWT认证原理：
Json web token (JWT), 根据官网的定义，是为了在网络应用环境间传递声明而执行的一种基于JSON的开放标准（(RFC 7519)，
JWT加密签名后形成类似aaa.bbb.ccc形式的字符串，是由三部分组成，客户端需要记录在浏览器的本到localStorage，每次请求时将JWT字符串放到HTTP Header中的Authorization里面，服务器单将解析JWT字符串，判断是否被篡改过、是否Token过期等，如果验证通过放行，如果不通过返回错误信息。
JWT由三部分组成
第一部分：头部（Header）
{
"alg": "HS256",//JWT加密算法（alg）
"typ": "JWT" // JWT Token类型（typ）
}
将头部进行base64加密，生成aaa.bbb.ccc的第一部分(aaa部分）
eyJhbGciOiJIUzI1NiJ9
第二部分：载荷（payload）
这部分就是存放信息的地方了，可以把用户 ID 等信息放在这里，JWT 规范里面对这部分有进行了比较详细的介绍，常用的由 iss（签发者），exp（过期时间），sub（面向的用户），aud（接收方），iat（签发时间）。
{
"iss": "HK",
"iat": 1441593502,
"exp": 1441594722,
"aud": "",
"sub": "userid"
}
iss: 该JWT的签发者，一般是服务器或系统名称，是否使用是可选的；
iat(issued at): 在什么时候签发的(UNIX时间)，是否使用是可选的；
exp(expires): 什么时候过期，这里是一个Unix时间戳，是否使用是可选的；
aud: 接收该JWT的一方，是否使用是可选的；
sub: 该JWT所面向的用户，userid，是否使用是可选的；
上述属性是JWT规范中定义的，用户还可以自定义属性，其数据结构是JSON
{
"iss": "HK",
"iat": 1441593502,
"exp": 1441594722,
"aud": "",
"sub": "userid",
"role":["admin","user"],
"username":"java"
}
载荷（payload）通过Base64加密后生成aaa.bbb.ccc的第二部分(bbb)
eyJqdGkiOiIxIiwic3ViIjoidXNlciIsImlzcyI6InVzZXIiLCJpYXQiOjE1OTMzMDczOTMsImV4cCI6MTU5MzMwNzQ5M30
第三部分：签名（signature）
HMACSHA256(
base64UrlEncode(header) + "." + //第一部分 aaa
base64UrlEncode(payload), //第二部分 bbb
SECREATE_KEY //服务器端存储的密钥
)
加密算法是在JWT第一部分中定义的加密算法
//加密内容
var encodedString = base64UrlEncode(header) + '.' + base64UrlEncode(payload);
//签名，密钥是存储在服务器端的，不可泄漏给其他人
var signature = HMACSHA256(encodedString, '密钥');
加密后的JWT字符串
eyJhbGciOiJIUzI1NiJ9.eyJqdGkiOiIxIiwic3ViIjoidXNlciIsImlzcyI6InVzZXIiLCJpYXQiOjE1OTMzMDczOTMsImV4cCI6MTU5MzMwNzQ5M30.RwsRLF1b3LbUvV_qJ7YGeht5JvpNXomijeKto1NI8Uw
例程
本例程只演示生成JWT Token字符串和验证JWT Token字符串，没有集成到登录模块中。
POM.xml添加依赖
<dependency>
<groupId>com.auth0</groupId>
<artifactId>java-jwt</artifactId>
<version>3.2.0</version>
</dependency>
<dependency>
<groupId>io.jsonwebtoken</groupId>
<artifactId>jjwt</artifactId>
<version>0.7.0</version>
</dependency>
package com.bnzj.cloud.auth;
import java.sql.Date;
import javax.crypto.SecretKey;
import javax.crypto.spec.SecretKeySpec;
import org.bouncycastle.util.encoders.Base64;
import io.jsonwebtoken.Claims;
import io.jsonwebtoken.ExpiredJwtException;
import io.jsonwebtoken.JwtBuilder;
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;
import io.jsonwebtoken.SignatureException;
public class JwtUtils {
/**
* 生成JWT
* @param id 唯一ID
* @param subject 主题
* @param ttlMillis 有效微秒数
* @return String 返回JWT JSON 字符串
*
*/
public static String createJWT(String id, String subject, long ttlMillis) {
SignatureAlgorithm signatureAlgorithm = SignatureAlgorithm.HS256;
long nowMillis = System.currentTimeMillis();
Date now = new Date(nowMillis);
SecretKey secretKey = generalKey();
JwtBuilder builder = Jwts.builder()
.setId(id)
.setSubject(subject) // 主题
.setIssuer("user") // 签发者
.setIssuedAt(now) // 签发时间
.signWith(signatureAlgorithm, secretKey); // 签名算法以及密匙
if (ttlMillis >= 0) {
long expMillis = nowMillis + ttlMillis;
Date expDate = new Date(expMillis);
builder.setExpiration(expDate); // 过期时间
}
return builder.compact();
}
/**
* 验证JWT Token是否正确
*/
public static CheckResult validateJWT(String jwtStr) {
CheckResult checkResult = new CheckResult();
Claims claims = null;
try {
claims = parseJWT(jwtStr);
checkResult.setSuccess(true);
checkResult.setClaims(claims);
} catch (ExpiredJwtException e) {
checkResult.setErrCode(Constant.JWT_ERRCODE_EXPIRE);
checkResult.setSuccess(false);
} catch (SignatureException e) {
checkResult.setErrCode(Constant.JWT_ERRCODE_FAIL);
checkResult.setSuccess(false);
} catch (Exception e) {
checkResult.setErrCode(Constant.JWT_ERRCODE_FAIL);
checkResult.setSuccess(false);
}
return checkResult;
}
public static SecretKey generalKey() {
byte[] encodedKey = Base64.decode(Constant.JWT_SECERT);
SecretKey key = new SecretKeySpec(encodedKey, 0, encodedKey.length, "AES");
return key;
}
/**
*
* 解析JWT字符串
* @param jwt
* @return
* @throws Exception
*/
public static Claims parseJWT(String jwt) throws Exception {
SecretKey secretKey = generalKey();
return Jwts.parser()
.setSigningKey(secretKey)
.parseClaimsJws(jwt)
.getBody();
}
public static void main(String[] args)
{
String id = "1";
String subject = "user";
long ttlMillis = 100000L;
//生成JWT字符串
String jwt = JwtUtils.createJWT(id, subject, ttlMillis);
System.out.println(jwt);
//验证JWT JSON是否合法
System.out.println(JwtUtils.validateJWT(jwt));
}
}
class CheckResult{
boolean isOk;
Claims claims;
String code;
public void setSuccess(boolean b)
{
this.isOk = b;
}
public void setClaims(Claims claims)
{
this.claims = claims;
}
public void setErrCode(String code)
{
this.code = code;
}
public String toString()
{
return "CheckResult[isOk="+isOk+",code="+code+",chaims="+claims+"]";
}
}
class Constant{
//错误代码定义
public static String JWT_ERRCODE_EXPIRE = "expire";
public static String JWT_ERRCODE_FAIL = "fail";
//密钥 Base64编码
public static String JWT_SECERT =
"MIICXAIBAAKBgQCsPS1u1r7pl3VsEK4Tvc2NjNvXhaO2ACh+R889bMo3rz9PQQur\n" +
"bj83pKfFDqcAbj/bhXbcQMG+Gs8WlUFmFNBVr651IL5h1gCrxfyivsQbWYbX5p4J\n" +
"fk52rCMr2QJjnCvyFh1layHZ2gg5/cLQsMR8SqGTHaQmSLCHkoaVq7u8IQIDAQAB\n" +
"AoGARSoH7YNkhI7igzOrg5frTBUtTr2GgRZNLHCPot3l0jiYVq4LDpsl3aVMDZCV\n" +
"tVGQaQmOMmH6quk/EZV7/o8LHUTGcj6i1p2vKBqmAz9M9eUFE/eFctf+k6PAiqKc\n" +
"kFa9HRSBukWne8SZw81qcxVxxw728dvzzahjP/n/mf9c/wUCQQDYjbZyrdK6QH86\n" +
"9P+VhZHeqEBa+rerSMxY3KiCYfRDh8v+C5CNZXdvWVXafu3B/o/U4e7eSyReBomw\n" +
"ybTlwdBrAkEAy5z+o0apRTsuUztAtJvhd0LGsuTyp8TzlI4nFywEHdLzJ47LNnQa\n" +
"yD9P7VBQO4ZeYb+sKC4Qayf6vMR5q94YowJBALSIkA3S89bqZidUkK6qiA1D30L5\n" +
"uZ1GN3Xtn13zI5wY3euQ4JXAfW2K4JQjNTuBaY9kO6t+oXbxpGCKCBFzHrkCQGFI\n" +
"3L2EmIH0mdi4udzRkfOamzeEfpA8YSl8lh7TMBBT50viRSP6a4V8AqNfuUYHmHbZ\n" +
"ztbP05ZvXrTspzm//0MCQHUcBARpGbzBnMI7j8xAjZJcrpmAhiMKjsix96sJPDjK\n" +
"ocy7JgQCH1252bIPiaqO3wjCy+F31IClFNNaw3JQRCA=\n";
}