当前位置：首页 > news >正文

JWT介绍、测试案例以及实际开发中的使用

news 文章来源：https://blog.csdn.net/m0_73864806/article/details/143812240 2025/4/28 14:14:49

什么是JWT？

JWT，通过数字签名的方式，以json对象为载体，在不同的服务终端之间安全的传输信息，用来解决传统session的弊端。

JWT在前后端分离系统，通过JSON形式作为WEB应用中的令牌(token)，用于在各方之间安全地将信息作为JSON对象传输。在数据传输过程中，还可以完成数据加密、签名等相关处理。

JWT能做什么?

1.授权：一旦用户登录，每个后续请求将包括JWT，从而允许用户访问该令牌允许的路由，服务和资源。单点登录是当今广泛使用JWT的一项功能，因为它的开销很小并且可以在不同的域中轻松使用。

2.信息交换：jwt是在各方之间安全地传输信息的好方法，因为可以对JWT进行签名，所以可以确保发件人是他们所说的人，此外可以验证内容是否遭到篡改。

为什么会有JWT？

传统的session认证有如下的问题

1.每个用户经过我们的应用认证之后，将认证信息保存在session中，由于session服务器中对象，随着认证用户的增多，服务器内存开销会明显增大；

2.用户认证之后，服务端使用session保存认证信息，那么要取到认证信息，只能访问同一台服务器，才能拿到授权的资源。这样在分布式应用上，就需要实现session共享机制，不方便集群应用;

3.因为session是基于cookie来进行用户识别的，cookie如果被截获，用户就会很容易受到跨站请求伪造的攻击。

基于JWT的认证流程：

前端通过web表单将自己的用户和密码发送到后端接口(一般是http-post请求，建议使用SSL加密传输(https协议)，以免敏感信息被嗅探)

后端核对用户名和密码成功后，将用户的Id等其他信息作为JWT Payload(负载)，将其与头部分别进行BASE64编码拼接后签名，形成一个JWT(Token)，形成的JWT就是一个字符(head.payload.singueater)
后端将JWT字符串作为登录成功的结果返回给前端。前端结果保存在localStorage(本地缓存)或sessionStorage上，退出登录时前端删除保存的JWT即可。
前端在每次请求时将JWT放入http header中的Authorization位(解决XSS和XSRF问题)
后端检查是否存在，如存在验证JWT的有效性，例如：检查签名是否正确，检查token是否过期，检查token的接收方是否是自己(可选)。

JWT的优势：

简洁，可以通过URL、POST参数或Http header发送，因为数据量小，传输速度快；
自包含，负载(属于JWT的一部分)中包含了用户所需要的信息，不需要在服务器端保存会话信息，不占服务器内存，也避免了多次查询数据库，特别适用于分布式微服务；
因为token是以json加密的形式保存在客户端的，所以JWT可以跨语言使用，原则上任何WEB形式都支持。
不需要再服务端保存会话信息，特别适用于分布式微服务。

JWT结构

JWT其实就是一段字符串，由标头(Header)、有效载荷(Payload)和签名(Signature)这三部分组成，用 . 拼接。在传输的时候，会将JWT的三部分分别进行Base64编码后用 . 进行连接形成最终传输的字符串。

头部（Header）: JWT的头部是一个JSON对象，用于描述JWT的元数据，例如令牌的类型（typ）和签名算法（alg）。通常情况下，头部会包含以下信息：

{"alg": "HS256","typ": "JWT"
}

- alg：指定签名算法，常见的有HMAC SHA256（HS256）和RSA SHA256（RS256）等。

- typ：指定令牌的类型，一般为JWT。

头部需要经过Base64编码后作为JWT的第一部分。

载荷（Payload）:JWT的载荷是存储实际数据的部分，也是一个JSON对象。它包含了一些声明（claims），用于描述令牌的信息。常见的声明有:

{"sub": "1234567890","name": "John Doe","admin": true
}

前面两部分都使用Base64进行编码，前端可以解开知道里面的信息， Signature需要使用编码后的header和payload以及我们提供的一密钥，然后使用header中指定的签名算法进行签名，以保证JWT没有被篡改过。

使用Signature签名可以防止内容被篡改。如果有人对头部及负载内容解码后进行修改，再进行编码，最后加上之前签名组成新的JWT。那么服务器会判断出新的头部和负载形成的签名和JWT附带的签名是不一样的。如果要对新的头部和负载进行签名，在不知道服务器加密时用的密钥的话，得出来的签名也是不一样的。

当用户希望访问一个受保护的路由或者资源的时候，可以把它放在 Cookie 里面自动发送，但是这样不能跨域，所以更好的做法是放在 HTTP 请求头信息的 Authorization 字段里，使用 Bearer 模式添加 JWT。

JWT测试demo

package com.qcby.springbootdemo1;
import com.auth0.jwt.JWT;
import com.auth0.jwt.JWTVerifier;
import com.auth0.jwt.algorithms.Algorithm;
import com.auth0.jwt.interfaces.Claim;
import com.auth0.jwt.interfaces.DecodedJWT;
import org.junit.jupiter.api.Test;
import java.util.Date;
import java.util.HashMap;
import java.util.Map;public class jwtTest {//JWT的生成：@Testpublic void testGen(){Map<String,Object> claims = new HashMap<>();claims.put("id",1);claims.put("username","张三");String token = JWT.create().withClaim("user",claims) //t添加第二部分.withExpiresAt(new Date(System.currentTimeMillis()+1000*60*60*12)) //添加过期时间.sign(Algorithm.HMAC256("itheima"));//指定算法,配置 密钥System.out.println(token);}//JWT的验证：@Testpublic void testGen1(){//定义字符串,模拟前端传过来的tokenString token = "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1c2VyIjp7ImlkIjoxLCJ1c2VybmFtZSI6IuW8oOS4iSJ9LCJleHAiOjE3MzE2MjE4NjZ9.XKk_AiJ5njz7tXRG9xW5lWdrvq71LzIhiHKrvYsvvbI";//require:申请一个jwt的验证器JWTVerifier jwtVerifier = JWT.require(Algorithm.HMAC256("itheima")).build();DecodedJWT decodedJWT = jwtVerifier.verify(token);//验证token,生成一个解析后的JWT对象Map<String, Claim> claims = decodedJWT.getClaims();System.out.println(claims.get("user"));//拿到token中的信息//如果篡改了头部和载荷部分的数据,那么验证失败//如果密钥改了,验证失败//token过期}
}

封装的JwtUtil：

package com.qcby.gaokao.util;
/*** JWT工具类*/
import io.jsonwebtoken.Claims;
import io.jsonwebtoken.JwtBuilder;
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;
import javax.crypto.SecretKey;
import javax.crypto.spec.SecretKeySpec;
import java.util.*;public class JwtUtil {//有效期为public static final Long JWT_TTL = 60 * 60 *1000L;// 60 * 60 * 1000//设置秘钥明文public static final String JWT_KEY = "qcby";/*** 创建token* @param id* @param subject* @param ttlMillis* @return*/public static String createJWT(String id, String subject, Long ttlMillis) {//设置签名算法：SignatureAlgorithm signatureAlgorithm = SignatureAlgorithm.HS256;//获取当前时间，为设置过期时间准备long nowMillis = System.currentTimeMillis();Date now = new Date(nowMillis);//如果调用方法时没有定义密钥，就是JwtUtil中定义的if(ttlMillis==null){ttlMillis=JwtUtil.JWT_TTL;}//设置过期时间long expMillis = nowMillis + ttlMillis;Date expDate = new Date(expMillis);//设置加密后的密钥SecretKey secretKey = generalKey();JwtBuilder builder = Jwts.builder().setId(id)              //唯一的ID.setSubject(subject)   // 主题  可以是JSON数据.setIssuer("wd")     // 签发者.setIssuedAt(now)      // 签发时间.signWith(signatureAlgorithm, secretKey) //使用HS256对称加密算法签名, 第二个参数为秘钥.setExpiration(expDate);// 设置过期时间return builder.compact();}/*** 生成加密后的秘钥 secretKey* @return*/public static SecretKey generalKey() {byte[] encodedKey = Base64.getDecoder().decode(JwtUtil.JWT_KEY);SecretKey key = new SecretKeySpec(encodedKey, 0, encodedKey.length, "AES");return key;}/*** 解析* @param jwt* @return* @throws Exception*/public static Claims parseJWT(String jwt) throws Exception {SecretKey secretKey = generalKey();return Jwts.parser().setSigningKey(secretKey).parseClaimsJws(jwt).getBody();}public static void main(String[] args) {String token = JwtUtil.createJWT(UUID.randomUUID().toString(),"qd",null );System.out.println(token);}
}

在项目中的应用：

我是在登录功能的时候使用的JWT技术

在我第一次登录的时候就会生成token令牌
我的令牌的校验的功能在拦截器中进行了实现

登录部分：

List<Student> students = studentMapper.findone(student);
if(students.size()== 1){//这些就是在进行登录拦截String token = JwtUtil.createJWT(UUID.randomUUID().toString(),String.valueOf(students.get(0).getId()),null);//将token信息设置如cookie当中Cookie cookie = new Cookie("token",token);cookie.setPath("/");   //设置浏览器的访问路径cookie.setMaxAge(36000); //设置cookie的过期时间response.addCookie(cookie);/*** 下面是用于传递账户邮箱信息的功能*///1、获取该账户的邮箱String email = students.get(0).getEmail();//2、将邮箱信息放入CookieCookie cookie1 = new Cookie("email",email);cookie1.setPath("/");cookie1.setMaxAge(36000);response.addCookie(cookie1);//到此逻辑结束//登录成功return new ResponseResult(200,"登录成功");}else {//登录失败return new ResponseResult(444,"登录失败");}

拦截器部分：

/*
* 配置拦截器
* */
@Component
public class LoginInterceptor implements HandlerInterceptor {//拦截器@Overridepublic boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {Cookie[] cookies = request.getCookies();if(cookies != null){for (Cookie cookie:cookies){if("token".equals(cookie.getName())){String userToken = cookie.getValue();if(!StringUtils.hasText(userToken)){response.sendError(HttpServletResponse.SC_UNAUTHORIZED);}//解析token看看是否成功try {Claims claims = JwtUtil.parseJWT(userToken);claims.getSubject();}catch (Exception e){//e.printStackTrace();System.out.println("token信息出错");return false;}return true;  //放行}}}return false;}
}