先给出JWT的官方文档
什么是JWT?
JSON Web Token(JWT)是一个开放标准(RFC 7519),它定义了一种紧凑且独立的方式,用于在各方之间作为JSON对象安全地传输信息。
什么时候应该使用JWT?
- 授权:这是使用JWT的最常见方式。一旦用户登录,每个后续请求将包括JWT,允许用户访问该令牌允许的路由,服务和资源。Single Sign On是一种现在广泛使用JWT的功能,因为它的开销很小,并且能够在不同的域中轻松使用。
- 信息交换:JSON Web令牌是在各方之间安全传输信息的好方法。因为JWT可以通过签名(使用公钥/私钥对 )核实发送人的身份。此外,由于使用标头和有效负载计算签名,您还可以验证内容是否未被篡改。
JWT令牌结构
JWT令牌由Header、Payload、Signature三部分组成,每部分之间用点号分隔,通常的形式为xxxxx.yyyyy.zzzzz
,下面分别对每部分做详细介绍。
Header(头)
Header通常由两部分组成:令牌的类型,即JWT,以及使用的签名算法,例如HMAC SHA256或RSA。
{
"alg": "HS256",
"typ": "JWT"
}
这个JSON被编码为Base64Url,形成JWT的第一部分。
Payload(有效载荷)
JWT的第二部分是有效载荷,其中包含声明( claims)。声明包含实体(通常是用户)和其他自定义信息。声明有三种类型:registered, public和private claims 。
- registered claims :这是一组预定义声明,不是强制性的,但建议使用,以提供一组有用的,可互操作的声明。其中包括: iss(发行人), exp(到期时间),sub(主题), aud(受众)。
请注意:声明名称只有三个字符,因为JWT需要保持简洁。
- public claims:这些可以由使用JWT的人随意定义。但为避免冲突,应在 IANA JSON Web Token Register中定义它们,或者将其定义为包含防冲突命名空间的URI。
- private claims:这些是自定义声明,用于在同意使用这些声明的各方之间共享信息,这些信息既没有注册也没有公开声明。
Payload经过Base64Url编码,形成JWT的第二部分。
请注意:对于JWT令牌,虽然可以防止被篡改,但任何人都可以读取。除非加密,否则不要将秘密信息放在JWT的有效载荷或头元素中。
Signature(签名)
Signature由Base64Url加密的Header、Payload再使用Header中指定的算法加密之后再和secret组成。
如果要使用HMACSHA256算法,将按以下方式创建签名:
HMACSHA256(
base64UrlEncode(header) + "." +
base64UrlEncode(payload),
secret)
Signature用于验证消息在此过程中未被更改,并且,在使用私钥签名的令牌的情况下,它还可以验证JWT的发件人的身份。
总结
最后将JWT的三部分由点号分隔作为一个字符串,其可以在HTML和HTTP环境中轻松传递,并且比基于XML的标准的Token(如SAML)更加简洁。
JWT工作流程
在身份验证中,当用户使用其凭据成功登录时,将返回JSON Web Token。由于令牌是凭证,因此必须非常小心以防止出现安全问题。一般情况下,您不应该将令牌保留的时间超过要求。
每当用户想要访问受保护的路由或资源时,用户发送JWT到相应的地址,通常在Authorization标头中。请求头的的内容应如下所示:
Authorization: Bearer <token>
在某些情况下,这可以是无状态授权机制。服务器的受保护路由将检查Authorization
标头中的有效JWT ,如果存在,则允许用户访问受保护资源。如果JWT包含必要的数据,则可以减少查询数据库以进行某些操作的需要,尽管可能并非总是如此。
如果在标Authorization
头中发送Token,则跨域资源共享(CORS)将不会成为问题,因为它不使用cookie。
下图显示了如何获取JWT并用于访问API或资源:
- 应用程序或客户端向授权服务器发送授权请求。
- 授予授权后,授权服务器会向应用程序返回JWT。
- 应用程序使用JWT来访问受保护资源(如API)。
请注意:使用JWT时,Token中包含的所有信息都会向用户或其他方公开,即使他们无法更改。所以您不应该在令牌中放置秘密信息。
JWT中的JAVA实现
JWT的java实现非常多,详细何以查看官方文档。
其中常用的有com.auth0.java-jwt和io.jsonwebtoken.jjwt
这里我采用 jjwt 作为演示,因为他的Github中的Star比较多。
Maven依赖
<dependency>
<groupId>io.jsonwebtoken</groupId>
<artifactId>jjwt-api</artifactId>
<version>0.10.5</version>
</dependency>
<dependency>
<groupId>io.jsonwebtoken</groupId>
<artifactId>jjwt-impl</artifactId>
<version>0.10.5</version>
<scope>runtime</scope>
</dependency>
<dependency>
<groupId>io.jsonwebtoken</groupId>
<artifactId>jjwt-jackson</artifactId>
<version>0.10.5</version>
<scope>runtime</scope>
</dependency>
<!-- Uncomment this next dependency if you want to use RSASSA-PSS (PS256, PS384, PS512) algorithms:
<dependency>
<groupId>org.bouncycastle</groupId>
<artifactId>bcprov-jdk15on</artifactId>
<version>1.60</version>
<scope>runtime</scope>
</dependency>
-->
创建Token
//Sample method to construct a JWT
public static String createJWT(String id, String issuer, String subject, long ttlMillis) {
//The JWT signature algorithm we will be using to sign the token
SignatureAlgorithm signatureAlgorithm = SignatureAlgorithm.HS256;
long nowMillis = System.currentTimeMillis();
Date now = new Date(nowMillis);
//We will sign our JWT with our ApiKey secret
byte[] apiKeySecretBytes = DatatypeConverter.parseBase64Binary( APP_ID + APP_SECRET);
Key signingKey = new SecretKeySpec(apiKeySecretBytes, signatureAlgorithm.getJcaName());
//Let's set the JWT Claims
JwtBuilder builder = Jwts.builder().setId(id)
.setIssuedAt(now)
.setSubject(subject)
.setIssuer(issuer)
.signWith(signatureAlgorithm, signingKey);
//if it has been specified, let's add the expiration
if (ttlMillis >= 0) {
long expMillis = nowMillis + ttlMillis;
Date exp = new Date(expMillis);
builder.setExpiration(exp);
}
//Builds the JWT and serializes it to a compact, URL-safe string
return builder.compact();
}
解析Token
//Sample method to validate and read the JWT
public static Claims parseJWT(String jwt) {
//This line will throw an exception if it is not a signed JWS (as expected)
Claims claims = Jwts.parser()
.setSigningKey(DatatypeConverter.parseBase64Binary(APP_ID + APP_SECRET))
.parseClaimsJws(jwt).getBody();
// System.out.println("ID: " + claims.getId());
// System.out.println("Subject: " + claims.getSubject());
// System.out.println("Issuer: " + claims.getIssuer());
// System.out.println("Expiration: " + claims.getExpiration());
return claims;
}
其中APP_ID
和APP_SECRET
可以自定义为你想要的任何值,但是不能过于简单。
你会发现我们再使用的时候没有设置Header的值,因为jjwt为了我们使用方便会根据使用的签名算法或压缩算法自动设置它们。
使用
@Test
public void createJWT(){
String jwt = JWTUtil.createJWT("1", "111", "admin", JWTUtil.DAY_TTL);
System.out.println(jwt);
}
@Test
public void parseJWT(){
Claims claims = JWTUtil.parseJWT("eyJhbGciOiJIUzI1NiJ9.eyJqdGkiOiIxIiwiaWF0IjoxNTQ4Mjk1NjQ0LCJzdWIiOiJhZG1pbiIsImlzcyI6IjExMSIsImV4cCI6MTU0ODMzODg0NH0.WRkyeG3MfVor02Ya4732fgGydXhtkkKSDwbxOIZ2i9Y");
System.out.println(claims);
}
如果想使用jjwt更复杂的功能或者其他的Java实现可以去他们相应的Github上学习。
**粗体** _斜体_ [链接](http://example.com) `代码` - 列表 > 引用
。你还可以使用@
来通知其他用户。