JWT的入门案例

1.什么是JWT？

　JWT全称JSON Web Token。是为了在网络应用环境键传递声明而执行的一种基于JSON的开放标准。

2.JWT的使用场景？

　　授权：一旦用户登录，每个后续请求将包括JWT，允许用户访问该令牌允许的路由，服务和资源。单点登录是一种在广泛使用JWT的功能，因为它的开销很小，并且能够在不同的域中轻松使用。

　　信息交换：JSON Web令牌是在各方之间安全传输信息的好方法。因为JWT可以签名 - 例如，使用公钥/私钥对 - 您可以确定发件人是他们所说的人。此外，由于使用标头和有效负载计算签名，您还可以验证内容是否未被篡改。

3.JWT的结构组成？

　　由三部分组成，用（.）进行分隔，他们是

• 头部（header）
• 有效载荷（payload）
• 签名（signature）

　　因此，JWT通常如下表示

　　xxxxxx.yyyyy.zzzzz

　　头部：

　　JWT头部分是一个描述JWT元数据的JSON对象，通常如下所示。

　　

在上面的代码中，alg属性表示签名使用的算法，默认为HMAC SHA256（写为HS256）；typ属性表示令牌的类型，JWT令牌统一写为JWT。然后，这个json被编码称Base64Url,形成JWT的第一部分。

　　有效载荷：

　　有效载荷是JWT的主体内容部分，也是一个JSON对象，包含需要传递的数据。JWT指定七个默认字段供选择。

　　iss:发行人

　　exp:到期时间

　　sup:主题

　　aud:用户

　　nbf:在此之前不可用

　　iat:发行时间

　　jti：JWT ID用于标识该JWT

　　除以上默认字段外，我们还可以自定义私有字段，如下例：

　　

　　请注意，默认情况下JWT是未加密的，任何人都可以解读其内容，因此不要构建隐私信息字段，存放保密信息，以防止信息泄露。

　　JSON对象也使用Base64 URL算法转换为字符串保存，形成JWT第二部分。

　　签名：

　　签名是对上面两部分数据签名，通过指定的算法生成哈希，以确保数据不会被篡改。

　　首先，需要制定一个密钥（secret）。该密钥仅仅为保存在服务器中，并且不能向用户公开。然后，使用头部中指定的签名算法（默认情况下为HMACSHA256）根据以下公式生成签名。

　　

　　在计算出签名后，将JWT头部，有效载荷和签名的三个部分组合成一个字符串，每个部分用"."分隔，就构成整个JWT对象，返回给用户。

4.JWT的用法？

　　JWT的原理是，服务器认证以后，生成一个JSON对象，发回给用户，如下面格式

　　{
  　　"姓名": "张三",
　　  "角色": "管理员",
  　　"到期时间": "2018年7月1日0点0分"
　　}

　　以后用户与服务端通信的时候，都要返回这个JSON对象。服务器完全只靠这个对象认定用户身份。为了防止用户篡改数据，服务器在生成这个对象的时候，会加上签名。

　　客户端收到服务器返回的JWT，可以存储到Cookie里面，也可以存储到localStorage。

　　此后，客户端每次与服务器通信，都要带上这个JWT。你可以把它放在cookie里面自动发送，但是这样就不能实现跨域。所以更好的做法是放在HTTP请求的头信息Authorization字段里面

　　另一种做法是，跨域的时候，JWT就放在POST请求的数据里面。

5.JWT特点？

　　（1）JWT默认是不加密的，但也是可以加密的。生成原始Token以后，可以用密钥在加密一次。

　　（2）JWT不加密的情况下，不能将秘密数据写入JWT。

　　（3）JWT不仅可以用于认证，也可以死用于交换信息。有效使用JWT，可以降低服务器的查询数据库的次数。

　　（4）JWT最大的缺点是，用于服务器不保存sessi000on状态，因此无法在使用过程中废止某个token，或者更改token的权限，也就是说，一旦JWT签发了，在到期之前就会始终有效，除非服务器部署额外的逻辑。

　　（5）JWT本身包含了认证信息，一旦泄露，任何人都可以获得该令牌的所有权限。为了减少盗用，JWT的有效期限应该设置的比较短。对于一些比较重要的权限，使用时应该再次对用户进行认证。

　　（6）为了较少盗用，JWT不应该使用HTTP协议明码传输，要使用HTTPS协议传输。

7.JWT的入门案例（Java方式）

　　创建一个项目，先引入依赖。

　　

　　创建一个Jwtutil工具类，里面有包括创建Jwt和解析Jwt

创建JWT

public String createJWT(String id, String subject, long ttlMillis) throws Exception {
    //指定签名的时候使用的签名算法，也就是header那部分，jjwt已经将这部分内容封装好了
    SignatureAlgorithm signatureAlgorithm = SignatureAlgorithm.HS256;
    //生成JWT的时间
    long nowMillis = System.currentTimeMillis();
    Date now = new Date(nowMillis);
    //创建payload的私有声明（根据特定的业务需要添加，如果要拿这个做验证，一般是需要和jwt的接收方提前沟通好验证方式的）
    Map<String,Object> claims = new HashMap<String,Object>();

　　claims.put("uid", "DSSFAWDWADAS...");
　　claims.put("user_name", "admin");
　　claims.put("nick_name","DASDA121");

    /**
     * 生成签名的时候使用的秘钥secret,这个方法本地封装了的，一般可以从本地配置文件中读取，切记这个秘钥不能外露哦。它就是你服务端的私钥，在任何场景都不应该流露出去。一旦客户端得知这个secret, 那就意味着客户端是可以自我签发jwt了。
     */
    SecretKey key = generalKey();
    //下面就是在为payload添加各种标准声明和私有声明了
    //这里其实就是new一个JwtBuilder，设置jwt的body
    JwtBuilder builder = Jwts.builder()
            //如果有私有声明，一定要先设置这个自己创建的私有的声明，这个是给builder的claim赋值，一旦写在标准的声明赋值之后，就是覆盖了那些标准的声明的
            .setClaims(claims)
            //设置jti(JWT ID)：是JWT的唯一标识，根据业务需要，这个可以设置为一个不重复的值，主要用来作为一次性token,从而回避重放攻击。
            .setId(id)
            //iat: jwt的签发时间
            .setIssuedAt(now)
            //sub(Subject)：代表这个JWT的主体，即它的所有人，这个是一个json格式的字符串，可以存放什么userid，roldid之类的，作为什么用户的唯一标志。
            .setSubject(subject)
            //设置签名使用的签名算法和签名使用的秘钥
            .signWith(signatureAlgorithm, key);
    if (ttlMillis >= 0) {
        long expMillis = nowMillis + ttlMillis;
        Date exp = new Date(expMillis);
        //设置过期时间
        builder.setExpiration(exp);
    }
    //就开始压缩为xxxxxxxxxxxxxx.xxxxxxxxxxxxxxx.xxxxxxxxxxxxx这样的jwt
    return builder.compact();
}
解析JWT

public Claims parseJWT(String jwt) throws Exception{
    //签名秘钥，和生成的签名的秘钥一模一样
    SecretKey key = generalKey();
    //得到DefaultJwtParser
    Claims claims = Jwts.parser()
            //设置签名的秘钥
            .setSigningKey(key)
            //设置需要解析的jwt
            .parseClaimsJws(jwt).getBody();
//claims相当于一个map，包含了我们想要的信息
    return claims;
}

　　接下来测试一下，首先创建一个jwt,得到一个xxxxxx.zzzzzz.yyyyy字符串

　　

　　

　　我们再来解析一下这个字符串:

　　

　　

　　这样，我们就能够根据这个字符串解析出用户信息，从而验证登录授权等功能。