jwt的使用

秒速五厘米 2022-05-16 02:23 234阅读 0赞

# 1.什么是jwt #

Json web token (JWT), 是为了在网络应用环境间传递声明而执行的一种基于JSON的开放标准（(RFC 7519).该token被设计为紧凑且安全的，  
特别适用于分布式站点的单点登录（SSO）场景。JWT的声明一般被用来在身份提供者和服务提供者间传递被认证的用户身份信息，以便于从资源服务器获取资源，  
也可以增加一些额外的其它业务逻辑所必须的声明信息，该token也可直接被用于认证，也可被加密。

基于token的鉴权机制类似于http协议也是无状态的，它不需要在服务端去保留用户的认证信息或者会话信息。  
这就意味着基于token认证机制的应用不需要去考虑用户在哪一台服务器登录了，这就为应用的扩展提供了便利。  
  
  
流程上是这样的：  
  
  
1.用户使用用户名密码来请求服务器  
2.服务器进行验证用户的信息  
3.服务器通过验证发送给用户一个token  
4.客户端存储token，并在每次请求时附送上这个token值  
5.服务端验证token值，并返回数据

# 2.jwt的构成 #

JWT是由三段信息构成的，将这三段信息文本用.链接一起就构成了Jwt字符串。就像这样:

String token="eyJhbGciOiJIUzUxMiJ9.eyJzdWIiOiJhZG1pbiIsImNyZWF0ZWQiOjE1MDgzOTkzNzk5ODAsImV4cCI6MTUwODQwNjU4MH0.WrFRikw6jQ5Ylo8p1BHff6vu3z6RkskJvptE_3xf6ETEM5kgL8CagsewJL9JwHKYnOmpX8EVoek6aY7EgTllXw";

第一部分我们称它为头部（header),第二部分我们称其为载荷（payload, 类似于飞机上承载的物品)，第三部分是签证（signature).

## 2.1登陆token的生成 ##

private static final String CLAIM_KEY_USERNAME = "sub";
    private static final String CLAIM_KEY_CREATED = "created";

public String login(String username, String password) {
            UserInfo info = userService.getUserByUsername(username);
            String token = "";
            if(encoder.matches(password,info.getPassword())) {
               token = jwtTokenUtil.generateToken(info);
            }
            return token;
        }

public String generateToken(UserInfo info) {
            Map<String, Object> claims = new HashMap<String, Object>();
            claims.put(CLAIM_KEY_USERNAME, info.getUsername());
            claims.put(CLAIM_KEY_CREATED, new Date());
            return generateToken(claims);
        }

String generateToken(Map<String, Object> claims) {
            return Jwts.builder()
                    .setClaims(claims)
                    .setExpiration(generateExpirationDate())
                    .signWith(SignatureAlgorithm.HS512, secret)
                    .compact();
        }

## 2.2token的验证 ##

1.如果token已经超时了

private Claims getClaimsFromToken(String token) {
            Claims claims;
            try {
                claims = Jwts.parser()
                        .setSigningKey(secret)
                        .parseClaimsJws(token)
                        .getBody();
            } catch (Exception e) {
                claims = null;
            }
            return claims;
        }

该方法会报错:

io.jsonwebtoken.ExpiredJwtException: JWT expired at 2017-10-19T17:49:40+0800. Current time: 2017-10-20T16:57:32+0800

2.token延期

public String refreshToken(String token) {
            String refreshedToken;
            try {
                final Claims claims = getClaimsFromToken(token);
                claims.put(CLAIM_KEY_CREATED, new Date());
                refreshedToken = generateToken(claims);
            } catch (Exception e) {
                refreshedToken = null;
            }
            return refreshedToken;
        }

但是这样会返回新的token客户端需要重新保存。