Jwt的基础入门，详细讲解
目录
一.Jwt的简介
1.1 Jwt是什么
1.2 组成部分：
1.3 使用JWT的步骤如下：
1.4 JWT的使用有以下优势：
1.5 JWT也有一些潜在的劣势：
二.Jwt的工具类
Jwt测试类：
三.案例----Jwt集成进spa项目
一.Jwt的简介
1.1 Jwt是什么
JWT（JSON Web Token）是目前最流行的跨域身份验证解决方案 。它由三部分组成：头部（Header）、载荷（Payload）和签名（Signature）。JWT通常被用于在客户端和服务器之间传递被认证的信息，JWT的精髓在于：“去中心化”，数据是保存在客户端的。
总体来说，JWT是一种灵活、安全且无状态的身份验证和授权机制，适用于多种应用场景。在使用时，需要注意保护好密钥，避免信息泄露和令牌被篡改。
1.2 组成部分：
- 头部（Header）通常由两部分组成：令牌类型（typ）和加密算法（alg）。
- 载荷（Payload）是JWT的核心部分，用于存储需要传递的信息。载荷包含一些预定义的声明（例如：iss（签发者）、exp（过期时间）、sub（主题）等）和自定义声明。JWT的载荷可以存储用户的身份信息、权限、角色等。
- 签名（Signature）是用于验证消息的完整性的部分。签名通常由头部、载荷、密钥和加密算法组成。通过验证签名，接收方可以确保令牌没有被篡改。
1.3 使用JWT的步骤如下：
1. 用户在客户端（通常是前端）提供身份验证信息（例如：用户名和密码）。
2. 服务器验证用户提供的身份验证信息，并生成一个JWT令牌。
3. 服务器将JWT令牌返回给客户端。
4. 客户端将JWT令牌存储在本地（通常是在浏览器的本地存储或Cookie中）。
5. 客户端在每次请求中将JWT令牌附加在请求头部或查询参数中。
6. 服务器在接收到请求时，验证JWT令牌的签名和有效性，并根据令牌中的信息授权请求。
1.4 JWT的使用有以下优势：
1. 无状态：服务器不需要存储会话信息，而是通过JWT令牌验证用户的身份和权限。
2. 可扩展性：JWT令牌可以包含自定义声明，方便扩展应用功能。
3. 跨平台：JWT令牌可以在不同的平台上使用，例如Web应用、移动应用等。
4. 安全性：JWT令牌通过签名验证，确保令牌的完整性和真实性。
1.5 JWT也有一些潜在的劣势：
1. 令牌大小：JWT令牌相对较大，可能会增加网络传输的负载。
2. 无法撤销：一旦JWT令牌签发，服务器无法主动撤销令牌，除非等待令牌过期或者更换密钥。
3. 信息暴露：JWT令牌中的信息是可以被解码的，因此敏感信息不应该存储在令牌中。
二.Jwt的工具类
工具类设置了有效时间，以及保存字符串，还写了三个方法：
- createJwt（）：将用户的登录信息生成Jwt字符串，并且设置Jwt字符串的有效时间
- parseJwt （）：通过得到的Jwt字符串反向得到用户的信息
- copyJwt (): 更新有效时间
package com.zking.ssm.jwt;
import java.util.Date;
import java.util.Map;
import java.util.UUID;
import javax.crypto.SecretKey;
import javax.crypto.spec.SecretKeySpec;
import org.apache.commons.codec.binary.Base64;
import io.jsonwebtoken.Claims;
import io.jsonwebtoken.JwtBuilder;
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;
/**
* JWT验证过滤器：配置顺序 CorsFilte->JwtUtilsr-->StrutsPrepareAndExecuteFilter
*
*/
public class JwtUtils {
/**
* JWT_WEB_TTL：WEBAPP应用中token的有效时间,默认30分钟
*/
public static final long JWT_WEB_TTL = 30 * 60 * 1000;
/**
* 将jwt令牌保存到header中的key
*/
public static final String JWT_HEADER_KEY = "jwt";
// 指定签名的时候使用的签名算法，也就是header那部分，jwt已经将这部分内容封装好了。
private static final SignatureAlgorithm SIGNATURE_ALGORITHM = SignatureAlgorithm.HS256;
private static final String JWT_SECRET = "f356cdce935c42328ad2001d7e9552a3";// JWT密匙
private static final SecretKey JWT_KEY;// 使用JWT密匙生成的加密key
static {
byte[] encodedKey = Base64.decodeBase64(JWT_SECRET);
JWT_KEY = new SecretKeySpec(encodedKey, 0, encodedKey.length, "AES");
}
private JwtUtils() {
}
/**
* 解密jwt，获得所有声明(包括标准和私有声明)
*
* @param jwt
* @return
* @throws Exception
*
* 通过得到的Jwt字符串得到用户的信息
*/
public static Claims parseJwt(String jwt) {
Claims claims = Jwts.parser()
.setSigningKey(JWT_KEY)
.parseClaimsJws(jwt)
.getBody();
return claims;
}
/**
* 创建JWT令牌，签发时间为当前时间
*
* @param claims
* 创建payload的私有声明（根据特定的业务需要添加，如果要拿这个做验证，一般是需要和jwt的接收方提前沟通好验证方式的）
* @param ttlMillis
* JWT的有效时间(单位毫秒)，当前时间+有效时间=过期时间
* @return jwt令牌
*
*⭐⭐将用户的登录信息生成Jwt字符串，并且设置Jwt字符串的有效时间
*
*/
public static String createJwt(Map claims,
long ttlMillis) {
// 生成JWT的时间，即签发时间 2021-10-30 10:02:00 -> 30 10:32:00
//当前时间
long nowMillis = System.currentTimeMillis();
//链式语法：
// 下面就是在为payload添加各种标准声明和私有声明了
// 这里其实就是new一个JwtBuilder，设置jwt的body
JwtBuilder builder = Jwts.builder()
// 如果有私有声明，一定要先设置这个自己创建的私有的声明，这个是给builder的claim赋值，一旦写在标准的声明赋值之后，就是覆盖了那些标准的声明的
.setClaims(claims)
// 设置jti(JWT ID)：是JWT的唯一标识，根据业务需要，这个可以设置为一个不重复的值，主要用来作为一次性token,从而回避重放攻击。
// 可以在未登陆前作为身份标识使用
.setId(UUID.randomUUID().toString().replace("-", ""))
// iss(Issuser)签发者，写死
.setIssuer("zking")
// iat: jwt的签发时间
.setIssuedAt(new Date(nowMillis))
// 代表这个JWT的主体，即它的所有人，这个是一个json格式的字符串，可放数据{"uid":"zs"}。此处没放
// .setSubject("{}")
// 设置签名使用的签名算法和签名使用的秘钥
.signWith(SIGNATURE_ALGORITHM, JWT_KEY)
// 设置JWT的过期时间
.setExpiration(new Date(nowMillis + ttlMillis));
return builder.compact();
}
/**
* 复制jwt，并重新设置签发时间(为当前时间)和失效时间
*
* @param jwt
* 被复制的jwt令牌
* @param ttlMillis
* jwt的有效时间(单位毫秒)，当前时间+有效时间=过期时间
* @return
*
* 更新有效时间
*/
public static String copyJwt(String jwt, Long ttlMillis) {
//解密JWT，获取所有的声明（私有和标准）
//old
Claims claims = parseJwt(jwt);
// 生成JWT的时间，即签发时间
long nowMillis = System.currentTimeMillis();
// 下面就是在为payload添加各种标准声明和私有声明了
// 这里其实就是new一个JwtBuilder，设置jwt的body
JwtBuilder builder = Jwts.builder()
// 如果有私有声明，一定要先设置这个自己创建的私有的声明，这个是给builder的claim赋值，一旦写在标准的声明赋值之后，就是覆盖了那些标准的声明的
.setClaims(claims)
// 设置jti(JWT ID)：是JWT的唯一标识，根据业务需要，这个可以设置为一个不重复的值，主要用来作为一次性token,从而回避重放攻击。
// 可以在未登陆前作为身份标识使用
//.setId(UUID.randomUUID().toString().replace("-", ""))
// iss(Issuser)签发者，写死
// .setIssuer("zking")
// iat: jwt的签发时间
.setIssuedAt(new Date(nowMillis))
// 代表这个JWT的主体，即它的所有人，这个是一个json格式的字符串，可放数据{"uid":"zs"}。此处没放
// .setSubject("{}")
// 设置签名使用的签名算法和签名使用的秘钥
.signWith(SIGNATURE_ALGORITHM, JWT_KEY)
// 设置JWT的过期时间
.setExpiration(new Date(nowMillis + ttlMillis));
return builder.compact();
}
}
Jwt测试类：
调用工具类方法，实现其功能
package com.zking.ssm.service.impl;
import java.text.SimpleDateFormat;
import java.util.Date;
import java.util.HashMap;
import java.util.Map;
import com.zking.ssm.jwt.JwtUtils;
import io.jsonwebtoken.Claims;
import org.junit.*;
public class JwtDemo {
private SimpleDateFormat sdf = new SimpleDateFormat("yyyy-MM-dd HH:mm:ss.SSS");
@Test
public void test1() {// 生成JWT
//JWT Token=Header.Payload.Signature
//头部.载荷.签名
//Payload=标准声明+私有声明+公有声明
//定义私有声明
Map claims = new HashMap();
claims.put("username", "zss");
claims.put("age", 18);
//TTL:Time To Live
//调用creatJwt方法
String jwt = JwtUtils.createJwt(claims, JwtUtils.JWT_WEB_TTL);
System.out.println(jwt);
//获取Payload（包含标准和私有声明）
Claims parseJwt = JwtUtils.parseJwt(jwt);
for (Map.Entry entry : parseJwt.entrySet()) {
System.out.println(entry.getKey() + "=" + entry.getValue());
}
Date d1 = parseJwt.getIssuedAt();
Date d2 = parseJwt.getExpiration();
System.out.println("令牌签发时间：" + sdf.format(d1));
System.out.println("令牌过期时间：" + sdf.format(d2));
}
@Test
public void test2() {// 解析oldJwt
//io.jsonwebtoken.ExpiredJwtException：JWT过期异常
//io.jsonwebtoken.SignatureException：签名异常
//String oldJwt="eyJhbGciOiJIUzI1NiJ9.eyJleHAiOjE1OTA3MTg2NzcsImlhdCI6MTU5MDcxNjg3NywiYWdlIjoxOCwianRpIjoiNDFmZjFiZGFkYzkxNDA3OGE4ZGUyNGRkZDEwYjU4N2IiLCJ1c2VybmFtZSI6InpzcyJ9.DdPvioX6kuhV6lEfD9QAN2eQSk_mO3dYkmDmTQsqa78";
//eyJhbGciOiJIUzI1NiJ9.eyJleHAiOjE2MzU1NjE3MjcsImlhdCI6MTYzNTU1OTkyNywiYWdlIjoxOCwianRpIjoiN2RlYmIzM2JiZTg3NDBmODgzNDI5Njk0ZWE4NzcyMTgiLCJ1c2VybmFtZSI6InpzcyJ9.dUR-9JUlyRdoYx-506SxXQ3gbHFCv0g5Zm8ZGzK1fzw
// eyJhbGciOiJIUzI1NiJ9.eyJpc3MiOiJ6a2luZyIsImV4cCI6MTY5NzE3OTg2NSwiaWF0IjoxNjk3MTc4MDY1LCJhZ2UiOjE4LCJqdGkiOiJkMDUwOWRjNDk5MTk0N2ExYTE3MDk1NDUzM2FmMmJmMiIsInVzZXJuYW1lIjoienNzIn0.PMYGdJhA4YfsJcYdpoXMbWFTfex_3YgJ_Pi4ERowoxs
// String newJwt="eyJhbGciOiJIUzI1NiJ9.eyJpc3MiOiJ6a2luZyIsImV4cCI6MTY2MjM0Njg3MSwiaWF0IjoxNjYyMzQ1MDcxLCJhZ2UiOjE4LCJqdGkiOiI4YjllNzc3YzFlMDM0MjViYThmMDVjNTFlMTU3NDQ1MiIsInVzZXJuYW1lIjoienNzIn0.UWpJxPxwJ09PKxE2SY5ME41W1Kv3jP5bZGKK-oNUDuM";
String newJwt="eyJhbGciOiJIUzI1NiJ9.eyJpc3MiOiJ6a2luZyIsImV4cCI6MTY5NzE3OTg2NSwiaWF0IjoxNjk3MTc4MDY1LCJhZ2UiOjE4LCJqdGkiOiJkMDUwOWRjNDk5MTk0N2ExYTE3MDk1NDUzM2FmMmJmMiIsInVzZXJuYW1lIjoienNzIn0.PMYGdJhA4YfsJcYdpoXMbWFTfex_3YgJ_Pi4ERowoxs";
String oldJwt = "eyJhbGciOiJIUzI1NiJ9.eyJleHAiOjE2MzU1NjE3MjcsImlhdCI6MTYzNTU1OTkyNywiYWdlIjoxOCwianRpIjoiN2RlYmIzM2JiZTg3NDBmODgzNDI5Njk0ZWE4NzcyMTgiLCJ1c2VybmFtZSI6InpzcyJ9.dUR-9JUlyRdoYx-506SxXQ3gbHFCv0g5Zm8ZGzK1fzw";
Claims parseJwt = JwtUtils.parseJwt(newJwt);
for (Map.Entry entry : parseJwt.entrySet()) {
System.out.println(entry.getKey() + "=" + entry.getValue());
}
Date d1 = parseJwt.getIssuedAt();
Date d2 = parseJwt.getExpiration();
System.out.println("令牌签发时间：" + sdf.format(d1));
System.out.println("令牌过期时间：" + sdf.format(d2));
}
@Test
public void test3() {// 复制jwt，并延时30分钟
// String oldJwt = "eyJhbGciOiJIUzI1NiJ9.eyJpc3MiOiJ6a2luZyIsImV4cCI6MTY2MjM0Njg3MSwiaWF0IjoxNjYyMzQ1MDcxLCJhZ2UiOjE4LCJqdGkiOiI4YjllNzc3YzFlMDM0MjViYThmMDVjNTFlMTU3NDQ1MiIsInVzZXJuYW1lIjoienNzIn0.UWpJxPxwJ09PKxE2SY5ME41W1Kv3jP5bZGKK-oNUDuM";
String oldJwt="eyJhbGciOiJIUzI1NiJ9.eyJpc3MiOiJ6a2luZyIsImV4cCI6MTY5NzE3OTg2NSwiaWF0IjoxNjk3MTc4MDY1LCJhZ2UiOjE4LCJqdGkiOiJkMDUwOWRjNDk5MTk0N2ExYTE3MDk1NDUzM2FmMmJmMiIsInVzZXJuYW1lIjoienNzIn0.PMYGdJhA4YfsJcYdpoXMbWFTfex_3YgJ_Pi4ERowoxs";
//String newJwt = "eyJhbGciOiJIUzI1NiJ9.eyJleHAiOjE2MDU3NTM2NTUsImlhdCI6MTYwNTc1MTg1NSwiYWdlIjoxOCwianRpIjoiYmNmN2Q1MzQ2YjE3NGU2MDk1MmIxYzQ3ZTlmMzQyZjgiLCJ1c2VybmFtZSI6InpzcyJ9.m1Qn84RxgbKCnsvrdbbAnj8l_5Jwovry8En0j4kCxhc";
//String oldJwt = "eyJhbGciOiJIUzI1NiJ9.eyJleHAiOjE1NjI5MDMzNjAsImlhdCI6MTU2MjkwMTU2MCwiYWdlIjoxOCwianRpIjoiZDVjMzE4Njg0MDcyNDgyZDg1MDE5ODVmMDY3OGQ4NjkiLCJ1c2VybmFtZSI6InpzcyJ9.XDDDRRq5jYq5EdEBHtPm7GcuBz4S0VhDTS1amRCdf48";
String newJwt = JwtUtils.copyJwt(oldJwt, JwtUtils.JWT_WEB_TTL);
System.out.println(newJwt);
Claims parseJwt = JwtUtils.parseJwt(newJwt);
for (Map.Entry entry : parseJwt.entrySet()) {
System.out.println(entry.getKey() + "=" + entry.getValue());
}
Date d1 = parseJwt.getIssuedAt();
Date d2 = parseJwt.getExpiration();
System.out.println("令牌签发时间：" + sdf.format(d1));
System.out.println("令牌过期时间：" + sdf.format(d2));
}
@Test
public void test4() {// 测试JWT的有效时间
Map claims = new HashMap();
claims.put("username", "zss");
String jwt = JwtUtils.createJwt(claims, 3 * 1000L);
System.out.println(jwt);
Claims parseJwt = JwtUtils.parseJwt(jwt);
Date d1 = parseJwt.getIssuedAt();
Date d2 = parseJwt.getExpiration();
System.out.println("令牌签发时间：" + sdf.format(d1));
System.out.println("令牌过期时间：" + sdf.format(d2));
}
@Test
public void test5() {// 三秒后再解析上面过期时间只有三秒的令牌，因为过期则会报错io.jsonwebtoken.ExpiredJwtException
//String oldJwt = "eyJhbGciOiJIUzI1NiJ9.eyJleHAiOjE2MzU1NjMzODIsImlhdCI6MTYzNTU2MTU4MiwiYWdlIjoxOCwianRpIjoiN2RlYmIzM2JiZTg3NDBmODgzNDI5Njk0ZWE4NzcyMTgiLCJ1c2VybmFtZSI6InpzcyJ1.F4pZFCjWP6wlq8v_udfhOkNCpErF5QlL7DXJdzXTHqE";
String oldJwt = "eyJhbGciOiJIUzI1NiJ9.eyJpc3MiOiJ6a2luZyIsImV4cCI6MTY2MjM0Njg3MSwiaWF0IjoxNjYyMzQ1MDcxLCJhZ2UiOjE4LCJqdGkiOiI4YjllNzc3YzFlMDM0MjViYThmMDVjNTFlMTU3NDQ1MiIsInVzZXJuYW1lIjoienNzIn9.UWpJxPxwJ09PKxE2SY5ME41W1Kv3jP5bZGKK-oNUDuM";
Claims parseJwt = JwtUtils.parseJwt(oldJwt);
// 过期后解析就报错了，下面代码根本不会执行
Date d1 = parseJwt.getIssuedAt();
Date d2 = parseJwt.getExpiration();
System.out.println("令牌签发时间：" + sdf.format(d1));
System.out.println("令牌过期时间：" + sdf.format(d2));
}
}
三.案例----Jwt集成进spa项目
在store文件下添加：state.js添加属性：
export default {
eduName: '默认值~~',
//添加一个Jwt属性
jwt:''
}
设置和获取：
export default {
// type(事件类型)： 其值为setEduName
// payload：官方给它还取了一个高大上的名字：载荷，其实就是一个保存要传递参数的容器
setEduName: (state, payload) => {
state.eduName = payload.eduName;
},
setJwt:(state,payload)=>{
state.jwt=payload.jwt;
}
}
export default {
getEduName: (state) => {
return state.eduName;
},
getJwt: (state) => {
return state.jwt;
}
}
接着在配置spa项目的全局配置https.js里面配置：
在后台的登录方法里面：
结果，在登录的userLogin里面;
今天的分享就到这啦!!!!