jwt 0.9.0（三）jwt客户端存储状态可行性分析，及Java代码案例

Jwt客户端存储状态可行性分析

1、前端首次访问后台，后台生成token，放在http header的Authorization里（官网推荐，可解决跨域cookie跨域问题），并且Authorization Type类型为Bearer，将token返回给前端。

2、后台生成token的过程，包括给token指定加密协议比如HS56，加密类型比如“JWT”，自定义数据比如uuid，还有最重要的是记得指定一个超级复杂的密钥，并且定期更换它，密钥用于jwt签名部分。还需要给jwt token指定一个合理的过期时间，这个也同样非常重要。

3、前端获取token后存储token，建议存入本地cookie。

4、前端再次发起后台API接口访问，此时需要带上token，也是放在http header中且Authorization Type类型为Bearer，后台需校验token的正确性后才可访问权限受限的API接口或其他资源。

先添加maven依赖

<dependency>
       <groupId>io.jsonwebtoken</groupId>
       <artifactId>jjwt</artifactId>
       <version>0.9.0</version>
</dependency>
<dependency>
       <groupId>org.apache.commons</groupId>
       <artifactId>commons-lang3</artifactId>
       <version>3.9</version>
</dependency>

JAVA代码案例

 package com.joyce.demo.jwt.controller;

 import java.util.Date;
 import java.util.HashMap;
 import java.util.Iterator;
 import java.util.Map;
 import java.util.Map.Entry;
 import javax.servlet.http.HttpServletRequest;
 import javax.servlet.http.HttpServletResponse;
 import org.apache.commons.lang3.StringUtils;
 import org.springframework.web.bind.annotation.RequestMapping;
 import org.springframework.web.bind.annotation.RestController;
 import io.jsonwebtoken.ExpiredJwtException;
 import io.jsonwebtoken.Jwts;
 import io.jsonwebtoken.MalformedJwtException;
 import io.jsonwebtoken.SignatureAlgorithm;
 import io.jsonwebtoken.SignatureException;
 import io.jsonwebtoken.UnsupportedJwtException;

 /**
  * jwt 官网: https://jwt.io
  *
  * @author Joyce 朱文  2019/6/16
  *
  */
 @RestController
 public class JwtController {

     private static final String SECRET = "123456"; // jwt token私钥，防止token被盗被破解
     public static final long EXPIRATION_TIME = 1800_000L; // token的过期时间，30 分钟

     /**
      * <pre>
      * 步骤1：第一次访问系统，生成token。
      * </pre>
      */
     @RequestMapping("/joyce/step1/firstAccess")
     public String step1(HttpServletRequest request, HttpServletResponse response) {

         // 把原来放在session里的信息都放入token
         HashMap<String, Object> tokenDataMap = new HashMap<>();
         tokenDataMap.put("uuid", "避免把敏感信息写入token");
         tokenDataMap.put("other", "xxx");
         request.getCookies();

         // 指定token的过期时间：30分钟
         Date thisTokenExpTime = new Date(new Date().getTime() + EXPIRATION_TIME);

         // 生成jwt token
         String token = Jwts.builder().setClaims(tokenDataMap).setExpiration(thisTokenExpTime)
                 .signWith(SignatureAlgorithm.HS512, SECRET).compact();

         // 按照jwt官方说明，可把token放入header中的Authorization，并且Authorization type为“Bearer Token”
         response.setCharacterEncoding("UTF-8");
         response.setContentType("application/json; charset=utf-8");
         response.setHeader("Access-Control-Allow-Headers", "Origin,Content-Type,Authorization");
         response.setHeader("Authorization", "Bearer " + token);
 //        response.setHeader("Access-Control-Allow-Origin","*");//启用跨域
 //        response.setHeader("Access-Control-Allow-Credentials", "true");
 //        response.setHeader("Access-Control-Allow-Methods", "POST,GET,OPTIONS,DELETE,PATCH,PUT");
 //        response.setHeader("Access-Control-Max-Age", "3600");
 //        response.setHeader("Access-Control-Allow-Headers", "Origin,X-Requested-With,x-requested-with,X-Custom-Header," +
 //                "Content-Type,Accept,Authorization");

         return token;
     }

     /**
      * <pre>
      * 步骤2：进入后续任何一个页面
      * 1、从Authorization header中获取token
      * 2、校验token正确性，如果错误，返回提示信息
      * </pre>
      */
     @RequestMapping("/joyce/step2/validToken")
     public String step2(HttpServletRequest request, HttpServletResponse response) {

         // 获取header
         String authorization = request.getHeader("Authorization");
         System.out.println("authorization===== " + authorization);

         // 解析token
         String token = StringUtils.EMPTY;
         // 如果token为空，则返回失败
         if (StringUtils.isBlank(authorization)) {
             return "error";
         }

         try {
             token = authorization.replaceFirst("Bearer ", StringUtils.EMPTY);
             // 得到自定义数据
             Map<String, Object> tokenDataMap = Jwts.parser().setSigningKey(SECRET).parseClaimsJws(token).getBody();

             //////////////////////////////////// 取值方式一
             // 获取token里payload有效负载数据
             String uuid = (String) (tokenDataMap.get("uuid"));
             String other = (String) (tokenDataMap.get("other"));
 //                Date generateTime = new Date((Long) tokenDataMap.get("myDate"));

             //////////////////////////////////// 取值方式二
             Iterator<Entry<String, Object>> it = tokenDataMap.entrySet().iterator();
             while (it.hasNext()) {
                 Entry<String, Object> entry = it.next();
                 System.out.println("entry = " + entry.getKey() + ":" + entry.getValue());
             }

             // 对所有的异常都需要进行业务处理
         } catch (UnsupportedJwtException e) { // 当接收到的JWT格式/配置与应用程序期望的格式不匹配时抛出异常。例如，当应用程序需要一个加密签名的JWS声明时，如果解析一个无签名的明文JWT，则会引发此异常。
             // TODO: handle exception
         } catch (MalformedJwtException e) { // 非正确的jwt结构
             // TODO: handle exception
         } catch (SignatureException e) { // 签名错误
             // TODO: handle exception
         } catch (ExpiredJwtException e) { // token过期
             // TODO: handle exception
         } catch (IllegalArgumentException e) { // 传递非法参数
             // TODO: handle exception
         }
         return "ok";
     }

 }

end.