JWT的学习笔记

心已赠人 2023-09-29 09:09 65阅读 0赞

### 认识JWT ###

> 官网：https://jwt.io/introduction

JSON Web Token (JWT) 是一个开放标准 ( [RFC 7519][] )，它定义了一种紧凑且自包含的方式，用于在各方之间以 JSON 对象的形式安全传输信息。此信息可以验证和信任，因为它是数字签名的。JWT 可以使用密钥（使用**HMAC算法）或使用**RSA**或ECDSA**的公钥/私钥对进行签名。

#### 为什么不用session ####

session对于分布式系统来说弊端过多，不方便集群应用。

1.  所有的session都在服务端进行保存，当用户量不断增大的时候服务器的开销也会随之增大。
2.  在一个应用的服务器有多台的情况下，针对一个用户，就必须在每台服务器上都维护一个相同的session，或者引入Redis等中间件对session进行统一的管理。

#### JWT认证流程 ####

*  首先，前端通过Web表单将自己的用户名和密码发送到后端的接口。这一 过程般是一个HTTP POST请求。建议的方式是通过SSL加密的传输(https协议) ，从而避免敏感信息被嗅探。
 *  后端核对用户名和密码成功后，将用户的id等其他信息作为JWT Payload (负载) ， 将其与头部分别进行Base64编码拼接后签名，形成一个JWT(Token)。形成的JWT就是一个形同111. zzz . xxx的字符串。token head . payload. singurater
 *  后端将JWT字符串作为登录成功的返回结果返回给前端。前端可以将返回的结果保存在localStor age或sessionStorage上，退出登录时前端删除保存的JWT即可。
 *  前端在每次请求时将JWT放入HTTP Header中的Authorization位。 (解决XSS和XSRF问题) HEADER
 *  后端检查是否存在，如存在验证JWT的有效性。例如，检查签名是否正确;检查Token是否过期;检查Token的接收方是否是自己(可选)。
 *  验证通过后后端使用JWT中包含的用户信息进行其他逻辑操作，返回相应结果。

#### JWT优势 ####

*  简洁(Compact): 可以通过URL, POST参数或者在HTTP header发送，因为数据量小，传输速度也很快
 *  自包含(Self-contained):负载中包含了所有用户所需要的信息，避免了多次查询数据库
 *  因为Token是以JSON加密的形式保存在客户端的，所以JWT是跨语言的，原则上任何web形式都支持。
 *  不需要在服务端保存会话信息，特别适用于分布式微服务。

#### JWT结构 ####

> 令牌组成

1.  标头（Header）
    
     *  标头通常由两部分组成:令牌的类型(即JWT) 和所使用的签名算法，例如HMAC SHA256或RSA。 它会使用Base64 编码组成JWT结构的第一部分。
     *  注意:Base64是- -种编码， 也就是说，它是可以被翻译回原来的样子来的。它并不是一种加密过程。
    
        {
              
            "alg": "HS256",
            "typ": "JWT"
        }
2.  有效载荷(Payload)
    
     *  令牌的第二部分是有效负载，其中包含声明。声明是有关实体(通常是用户)和其他数据的声明。同样的，它会使用Base64编码组成JWT结构的第二部分
        
            {
                    
                "sub": "1234567890",
                "name": "JoHn Doe",
                "admin": true
            }
3.  签名(Signature)
    
     *  前面两部分都是使用Base64 进行编码的，即前端可以解开知道里面的信息。Signature需要使用编码后的header 和payload以及我们提供的一个密钥，然后使用header 中指定的签名算法(HS256) 进行签名。签名的作用是保证JWT没有被篡改过  
        如:  
        HMACSHA256 (base64UrlEncode(header) + “.” + base64Ur1Encode(payload) , secret);
     *  签名目的  
        最后一步签名的过程，实际上是对头部以及负载内容进行签名，防止内容被窜改。如果有人对头部以及负载的内容解码之后进行修改，再  
        进行编码，最后加上之前的签名组合形成新的JWT的话，那么服务器端会判断出新的头部和负载形成的签名和JWT附带上的签名是不一 样的。  
        如果要对新的头部和负载进行签名，在不知道服务器加密时用的密钥的话，得出来的签名也是不-样的。
4.  因此JWT通常如下所示：xxxxx.yyyyy.zzzzz Header.Payload.Signature
    
    ![image-20220407145244728][]
5.  放在一起
    
     *  输出是三个由点分隔的Base64-URL字符串，可以在HTML和HTTP环境中轻松传递这些字符串，与基于XML的标准(例如SAML) 相比，它更  
        紧凑。
     *  简洁(Compact)  
        可以通过URL，POST参数或者在HTTP header 发送，因为数据量小，传输速度快
     *  自包含(Self-contained)  
        负载中包含了所有用户所需要的信息，避免了多次查询数据库
    
    ![image-20220407145350084][]

#### JWT中的全部异常 ####

*  JwtException 总异常
 *  ClaimJwtException 获取Claim异常
 *  ExpiredJwtException token过期异常
 *  IncorrectClaimException token无效
 *  MalformedJwtException 密钥验证不一致
 *  MissingClaimException JWT无效
 *  RequiredTypeException 必要类型异常
 *  SignatureException 签名异常
 *  UnsupportedJwtException 不支持JWT异常

### 简单使用JWT ###

> 官网查看：https://jwt.io/libraries
> 
> github仓库：https://github.com/auth0/java-jwt

![image-20220407145634460][]

1.  引入依赖
    
        
        <dependency>
            <groupId>com.auth0</groupId>
            <artifactId>java-jwt</artifactId>
            <version>3.4.0</version>
        </dependency>
2.  生成JWT令牌
    
        @Test
        void contextLoads() {
              
            HashMap<String, Object> map = new HashMap<>();
        
            Calendar instance = Calendar.getInstance();
            instance.add(Calendar.SECOND,200);//设定为200秒
        
            //生成令牌
            String token = JWT.create()
                    .withHeader(map)//header 头有默认值，一般不需要改动
                    .withClaim("userId", 21)//playload 设置用户id、用户名等
                    .withClaim("username", "xiaochen")
                    .withExpiresAt(instance.getTime())//指定令牌过期时间
                    .sign(Algorithm.HMAC256("!qwe@[wef"));//签名
            //输出令牌
            System.out.println(token);
        }
    
    ![image-20220407152635696][]
3.  验证令牌
    
        @Test
            public void test(){
              
                //创建验证对象
                JWTVerifier jwtVerifier = JWT.require(Algorithm.HMAC256("!qwe@[wef")).build();
                DecodedJWT verify = jwtVerifier.verify("eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJleHAiOjE2NDkzMTYyMTYsInVzZXJJZCI6MjEsInVzZXJuYW1lIjoieGlhb2NoZW4ifQ.2-9ihc9BELVNTU2iRwe1Ye8MHVBXoKlcQbCb3WNC8x4");
                
                System.out.println(verify.getClaim("userId").asInt());//获取userId
                System.out.println(verify.getClaim("username").asString());//获取username
                System.out.println("过期时间:"+verify.getExpiresAt());//获取过期时间
        //        System.out.println(verify.getClaims().get("userId").asInt());
        //        System.out.println(verify.getClaims().get("username").asString());
            }
    
    ![image-20220407152729518][]

### 封装JWT工具类 ###

public class JWTUtils {
        
        private static final String SIGN="!qwe@[wef";//后面从数据库中获取
    
        /**
         * 生成token header.payload.sign
         * 由于header有默认值，所以我们可以不需要设置，如果有需要可以进行设置
         */
        public static String getToken(Map<String,String> map){
        
            Calendar instance = Calendar.getInstance();
            instance.add(Calendar.DATE,7);//默认7天过期
            //创建jwt builder
            JWTCreator.Builder builder = JWT.create();
            //playload
            map.forEach((k,v)->{
        builder.withClaim(k,v);});
    
            String token = builder.withExpiresAt(instance.getTime())//令牌过期时间
                    .sign(Algorithm.HMAC256(SIGN));//签名
    
            return token;
        }
    
        /**
         * 验证token合法性,并返回DecodedJWT对象
         */
        public static DecodedJWT verify(String token){
        
            return JWT.require(Algorithm.HMAC256(SIGN)).build().verify(token);
    
        }
    
    //    /**
    //     * 获取token信息方法
    //     */
    //    public static DecodedJWT getTokenInfo(String token){
        
    //        DecodedJWT verify = JWT.require(Algorithm.HMAC256(SIGN)).build().verify(token);
    //        return verify;
    //    }
    }

### 整合SpringBoot ###

#### 基本原理 ####

1.  创建项目
2.  引入依赖
    
        
                <dependency>
                    <groupId>org.mybatis.spring.boot</groupId>
                    <artifactId>mybatis-spring-boot-starter</artifactId>
                    <version>2.2.2</version>
                </dependency>
        
                <dependency>
                    <groupId>com.alibaba</groupId>
                    <artifactId>druid</artifactId>
                    <version>1.2.8</version>
                </dependency>
        
                <dependency>
                    <groupId>mysql</groupId>
                    <artifactId>mysql-connector-java</artifactId>
                </dependency>
3.  编写yml配置文件
    
        spring:
          # 数据库配置
          datasource:
            driver-class-name: com.mysql.cj.jdbc.Driver
            url: jdbc:mysql://localhost:3306/jwt?useSSL=false&useUnicode=true&characterEncoding=utf-8&serverTimezone=Asia/Shanghai
            username: root
            password: root
            type: com.alibaba.druid.pool.DruidDataSource
        # mybatis-plus配置
        mybatis:
          mapper-locations: classpath:mapper/*.xml
          type-aliases-package: com.lzj.entity
        
        logging:
          level:
            com:
              lzj:
                mapper:
                  debug
4.  新建jwt数据库
    
    ![image-20220407155956777][]
5.  编写实体类、mapper、mapper.xml、service、serviceImpl、Controller等
    
        @Data
        @AllArgsConstructor
        @NoArgsConstructor
        public class User {
              
            private Integer id;
            private String name;
            private Integer password;
        }
    
        @Mapper
        public interface UserMapper {
              
            User login(User user);
        }
    
        <?xml version="1.0" encoding="UTF-8" ?>
        <!DOCTYPE mapper
                PUBLIC "-//mybatis.org//DTD Mapper 3.0//EN"
                "http://mybatis.org/dtd/mybatis-3-mapper.dtd">
        <mapper namespace="com.lzj.mapper.UserMapper">
            <select id="login" resultType="User" parameterType="User">
                select * from user where name=#{
              name} and password=#{
              password}
            </select>
        
        </mapper>
    
        public interface UserService {
              
            User login(User user);
        }
    
        @Service
        public class UserServiceImpl implements UserService {
              
            @Autowired
            private UserMapper userMapper;
            @Override
            public User login(User user) {
              
                //根据接收用户名密码查询数据库
                User login = userMapper.login(user);
                if (login!=null){
              
                    return login;
                }
                throw new RuntimeException("登陆失败");
            }
        }
    
        @RestController
        public class UserController {
              
            @Autowired
            private UserService userService;
        
            @RequestMapping("/user/login")
            public Map<String,Object> login(User user){
              
                System.out.println("用户名:"+user.getName());
                System.out.println("密码:"+user.getPassword());
                HashMap<String, Object> map = new HashMap<>();
                try {
              
                    User userDb = userService.login(user);
                    map.put("state",true);
                    map.put("msg","认证成功");
                }catch (Exception e){
              
                    map.put("state",false);
                    map.put("msg",e.getMessage());
                }
                return map;
            }
        }
6.  测试下是否能够正常访问
    
    > 数据需要自己先去数据库中添加
    > 
    > http://localhost:8080/user/login?name=lzj&password=123
    
    ![image-20220407163000225][]
7.  编写controller，测试生成和验证token
    
        @RestController
        public class UserController {
              
            @Autowired
            private UserService userService;
        
            @RequestMapping("/user/login")
            public Map<String,Object> login(User user){
              
                System.out.println("用户名:"+user.getName());
                System.out.println("密码:"+user.getPassword());
                HashMap<String, Object> map = new HashMap<>();
                try {
              
                    User userDb = userService.login(user);
        
                    HashMap<String, String> payload = new HashMap<>();
                    payload.put("id", String.valueOf(userDb.getId()));
                    payload.put("name", userDb.getName());
                    //生成JWT的令牌
                    String token = JWTUtils.getToken(payload);
        
                    map.put("state",true);
                    map.put("msg","认证成功");
                    map.put("token",token);//响应token
                }catch (Exception e){
              
                    map.put("state",false);
                    map.put("msg",e.getMessage());
                }
                return map;
            }
        
            @RequestMapping("/user/test")
            public Map<String,Object> test(String token){
              
                HashMap<String, Object> map = new HashMap<>();
                System.out.println("当前token为:"+token);
                try {
              
                    DecodedJWT verify = JWTUtils.verify(token);//验证令牌
                    map.put("state",true);
                    map.put("msg","请求成功");
                    return map;
                }catch (SignatureVerificationException e){
              
                    e.printStackTrace();
                    map.put("msg","无效签名");
                }catch (TokenExpiredException e){
              
                    e.printStackTrace();
                    map.put("msg","token过期");
                }catch (AlgorithmMismatchException e){
              
                    e.printStackTrace();
                    map.put("msg","token算法不一致");
                }catch (Exception e){
              
                    e.printStackTrace();
                    map.put("msg","token无效");
                }
                map.put("state",false);
                return map;
            }
        }

![image-20220407164724345][]

由于使用上述方式，每次都要传递token的数据，代码太冗余了，所以我们使用拦截器进行优化，分布式的系统中在网关中优化

#### 使用拦截器进行优化 ####

1.  创建一个interceptors包
2.  创建JWTInterceptor类
    
    > 注：这里是获取请求头中的token
    
        public class JWTInterceptor implements HandlerInterceptor {
              
            @Override
            public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
              
                HashMap<String, Object> map = new HashMap<>();
                //获取请求头中的令牌
                String token = request.getHeader("token");//所以前端需要将token放到请求头中
                
                try {
              
                    JWTUtils.verify(token);//验证令牌
                    return true;
                }catch (SignatureVerificationException e){
              
                    e.printStackTrace();
                    map.put("msg","无效签名");
                }catch (TokenExpiredException e){
              
                    e.printStackTrace();
                    map.put("msg","token过期");
                }catch (AlgorithmMismatchException e){
              
                    e.printStackTrace();
                    map.put("msg","token算法不一致");
                }catch (Exception e){
              
                    e.printStackTrace();
                    map.put("msg","token无效");
                }
                map.put("state",false);//设置状态
                //将map转为json 使用jackson
                String json = new ObjectMapper().writeValueAsString(map);
                response.setContentType("application/json;charset=UTF-8");
                response.getWriter().print(json);
                return false;
            }
        }
3.  创建拦截器配置类InterceptorConfig
    
        @Configuration
        public class InterceptorConfig implements WebMvcConfigurer {
              
            @Override
            public void addInterceptors(InterceptorRegistry registry) {
              
                registry.addInterceptor(new JWTInterceptor())
                        .addPathPatterns("/**")//对所有路径进行拦截
                        .excludePathPatterns("/user/login");//这些路径放行
            }
        }
4.  在controller等层中如何获取token中的数据
    
    > 1.使用request获取请求头中的token
    > 
    > 2.使用我们封装好的JWTUtil工具类来获取DecodeDJWT对象
    > 
    > 3.获取token中我们存储的值
    
        @RequestMapping("/user/test")
        public Map<String,Object> test(HttpServletRequest request){
              
            HashMap<String, Object> map = new HashMap<>();
            String token = request.getHeader("token");
            DecodedJWT verify = JWTUtils.verify(token);
            System.out.println(verify.getClaim("id").asString());
            System.out.println(verify.getClaim("name").asString());
            map.put("msg","请求成功");
            return map;
        }
    
    ![image-20220407175350722][]
5.  测试进行访问
    
    由于我们是获取请求头的数据，所以无法在游览器上进入（反正我是不知道该怎么访问），我们可以下载Postman来进行访问
    
    生成token
    
    ![image-20220407175556573][]
    
    测试访问
    
    ![image-20220407175707170][]

[RFC 7519]: https://tools.ietf.org/html/rfc7519
[image-20220407145244728]: https://img-blog.csdnimg.cn/img_convert/4fa551af19c4fbd7c6f1359c9f5adda3.png
[image-20220407145350084]: https://img-blog.csdnimg.cn/img_convert/633ab94198ed118165704c5f830b1b0f.png
[image-20220407145634460]: https://img-blog.csdnimg.cn/img_convert/081697f1b84f560ca4ce8e107289d065.png
[image-20220407152635696]: https://img-blog.csdnimg.cn/img_convert/34127860c5a43d1205f6a8639eaef05d.png
[image-20220407152729518]: https://img-blog.csdnimg.cn/img_convert/b1a95004a7db410228e906d5c9e702f3.png
[image-20220407155956777]: https://img-blog.csdnimg.cn/img_convert/c8253993280a0b2acfeb3d7e405164d7.png
[image-20220407163000225]: https://img-blog.csdnimg.cn/img_convert/2aa3fd48d4f26971b09985b89fadca1f.png
[image-20220407164724345]: https://img-blog.csdnimg.cn/img_convert/e3e379fb98a81b45535db98f630d49f4.png
[image-20220407175350722]: https://img-blog.csdnimg.cn/img_convert/5d32ac494d491d716b59fb05daf6a87a.png
[image-20220407175556573]: https://img-blog.csdnimg.cn/img_convert/0c51c983b04c640e77e44011d939565c.png
[image-20220407175707170]: https://img-blog.csdnimg.cn/img_convert/5cd17b5938b36a9fe17d63ae43a861de.png