jwt 学习笔记

概述

JWT，Java Web Token，通过 JSON 形式作为 Web 应用中的令牌，用于在各方之间安全地将信息作为 JSON 对象传输，在数据传输过程中还可以完成数据加密、签名等相关处理

JWT 的作用如下：

授权：一旦用户登录，每个后续请求将包括 JWT，从而允许用户访问该令牌允许的路由，服务和资源
信息交换：JSON Web Token 是在各方之间安全地传输信息的好方法，因为可以对 JWT 进行签名，此外，由于签名是使用标头和有效负载计算的，因此还可以验证内容是否篡改

传统的 Session 认证

1. 认证方式

http 协议本身是一种无状态协议，这就意味着如果用户向我们的应用提供了用户名和密码进行认证，那么下次请求时还需再作一次认证。因为根据 http 协议，我们并不知道是哪个用户发出的请求，所以为了让应用能识别是哪个用户发出的请求，我们只能在服务存储一份用户登录的信息，这份登录信息会在响应传递给浏览器，告诉其保存为 cookie，以便下次请求时发送回来，这样我们就能识别请求来自哪个用户了

2. 缺点

每个用户经过认证后，都要在服务端做一次记录，以方便下次鉴别。通常而言，session 都是保存在内存中的，随着认证用户的增多，服务端的开销也会明显增大
用户认证之后，服务端做认证记录，如果认证的记录被保存到内存中，就意味着下次用户请求还得访问该服务器，才能拿到授权的资源，在分布式应用上，相应的限制了负载均衡器的能力，也就意味着限制了应用的扩展能力
基于 cookie 进行用户识别，cookie 一旦被捕获，用户就会很容易受到跨站请求伪造的攻击
在前后端分离时增加了部署的复杂性

JWT 认证

1. 认证方式

前端通过 Web 表单将自己的用户名和密码发送给后端的接口，这一过程一般是 http post 请求，建议的方式是通过 SSL 加密的传输（https），从而避免敏感信息被嗅探
后端核对用户名和密码成功后，将用户的 id 等其他信息作为 JWT Payload（负载），将其与头部分别进行 Base64 编码，拼接后签名，形成一个 JWT Token
后端将 JWT 字符串作为登录成功的返回结果返回，前端可以将返回的结果保存在本地缓存上，退出登录时前端删除保存的 JWT 即可
前端在每次请求后端带回 JWT
后端检查是否存在，如验证 JWT 的有效性，检查签名是否正确，检查 Token 是否过期，检查 Token 接收方是否是自己
验证通过后，后端使用 JWT 中包含的用户信息进行其他逻辑操作，返回相应结果

2. 优点

简洁，可以通过 URL、POST 参数或者在 HTTP Header 发送，因为数据量小，传输速度快
自包含，负载中包含了所有用户需要的信息，避免多次查询数据库
Token 以加密形式保存在客户端，原则上任何 web 形式都支持
不需要在服务端保存会话信息，特别适用于分布式微服务

JWT 结构

通常 JWT 如下所示：xxxxx.yyyyy.zzzzz

标头（Header）：标头一般由两部分组成：令牌的类型和所使用的签名算法，标头使用 Base64 编码
```
{

    "alg":"HS256",

    "typ":"JWT"

}
```
有效负载（payload）：令牌的第二部分是有效负载，其中包含声明。声明是有关实体（通常是用户）和其他数据的声明。同样使用 Base64 编码。不建议放入用户的敏感信息
```
{

    "sub":"12345678",

    "name":"john",

    "admin":true,

    ...

}
```
签名（Signature）：Signature 需要使用编码后的 Header 和 Payload 以及我们提供的一个密钥，然后使用 Header 中指定签名算法，进行签名。签名的作用是保证 JWT 没有被篡改过，如：HMACSHA256(base64UrlEncode(header) + "." + base64UrlEncode(payload),secret)

客户端收到服务端发送的 token 后，再次请求服务端需要带上 token，此时 token 包含三部分：经过 Base64 编码的 Header、经过 Base64 编码的 Payload 和加密后的签名，服务端用自己保存的 secret 与客户端发送的 Header、Payload 运算，如果结果和客户端带回来的签名不一致，则验证失败

JWT 使用

引入依赖

<dependency>

    <groupId>com.auth0</groupId>

    <artifactId>java-jwt</artifactId>

    <version>3.4.0</version>

</dependency>

生成 token

Calendar instance = Calendar.getInstance();

instance.add(Calendar.SECOND, 20);

Map<String, Object> map = new HashMap<>();

String token = JWT.create().withHeader(map)    // header

    .withClaim("userId", 21)    // payload

    .withClaim("username", "yeeq")

    .withExpiresAt(instance.getTime())    // 指定令牌的过期时间

    .sign(Algorithm.HMAC256("FAWF2#!F@"));  // 签名，并指定密钥

根据令牌和签名解析数据

// 创建验证对

JWTVerifier jwtVerifier = JWT.require(Algorithm.HMAC256("FAWF2#!F@")).build();

// 解码后的信息

DecodedJWT verify = jwtVerifier.verify("eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJleHAiOjE2MDAyNTQ4NzIsInVzZXJJZCI6MjEsInVzZXJuYW1lIjoieWVlcSJ9.jo_6gKThSXUcEfH1e9bu7at9lm2zmdupwiYvMUWopls");

System.out.println(verify.getClaim("userId").asInt());

System.out.println(verify.getClaim("username").asString());

常见异常信息：

SignatureVerificationException：签名不一致异常
TokenExpiredException：令牌过期异常
AlgorithmMismatchException：算法不匹配异常
InvalidClaimException：失效的 payload 异常

JWT 封装工具类

一般结合拦截器或者网关完成认证

public class JWTUtils {

    private static final String SIGN = "FAWF2#!F@";

    /**

         * 生成 token

         * @param map payload 的信息

         * @return token

         */

    public static String getToken(Map<String, String> map) {

        Calendar instance = Calendar.getInstance();

        instance.add(Calendar.DATE, 7);

        JWTCreator.Builder builder = JWT.create();

        // 创建 payload

        map.forEach((k, v) -> {

            builder.withClaim(k, v);

        });

        String token = builder.withExpiresAt(instance.getTime())    // 指定令牌的过期时间

            .sign(Algorithm.HMAC256(SIGN));  // 签名，并指定密钥

        return token;

    }

    /**

         * 验证 token 的合法性

         * @param token token

         */

    public static void verifyJWT(String token) {

        JWT.require(Algorithm.HMAC256(SIGN)).build().verify(token);

    }

    /**

         * 获取 token 的信息

         * @return token 的信息

         */

    public static DecodedJWT getTokenInfo(String token) {

        DecodedJWT verify = JWT.require(Algorithm.HMAC256(SIGN)).build().verify(token);

        return verify;

    }

}