SpringBoot整合JWT Token的完整步驟
背景
JWT全稱是：json web token。它將用戶信息加密到 token 里，服務(wù)器不保存任何用戶信息。服務(wù)器通過使用保存的密鑰驗(yàn)證 token 的正確性，只要正確即通過驗(yàn)證。
優(yōu)點(diǎn)
1.簡(jiǎn)介：可以通過 URL POST 參數(shù)或者在 HTTP header 發(fā)送，因?yàn)閿?shù)據(jù)量小，傳輸速度也很快；
2.自包含：負(fù)載中可以包含用戶所需要的信息，避免了多次查詢數(shù)據(jù)庫；
3.因?yàn)?Token 是以 JSON 加密的形式保存在客戶端的，所以 JWT 是跨語言的，原則上任何 web 形式都支持；
4.不需要再服務(wù)端保存會(huì)話信息，特別適用于分布式微服務(wù)；
缺點(diǎn)
1.無法作廢已經(jīng)發(fā)布的令牌；
2.不易應(yīng)對(duì)數(shù)據(jù)過期；
一 JWT 消息構(gòu)成
1.1 組成
一個(gè) Token 分三部分，按順序?yàn)?/p>
1.頭部（header）
2.載荷（payload）
3.簽證（signature）
三部分之間用.分割。例如：
eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJhdWQiOiIxYzdiY2IzMS02ODFlLTRlZGYtYmU3Yy0wOTlkODAzM2VkY2UiLCJleHAiOjE1Njk3Mjc4OTF9.wweMzyB3tSQK34Jmez36MmC5xpUh15Ni3vOV_SGCzJ8
1.2 header
JWT的頭部承載兩部分信息：
1.聲明類型，這里是JWT
2.聲明加密的算法，通常直接使用 HMAC SHA256
JWT里驗(yàn)證和簽名使用的算法列表如下：
| JWT | 算法名稱 |
| HS256 | HMAC256 |
| HS384 | HMAC384 |
| HS512 | HMAC512 |
| RS256 | RSA256 |
| RS384 | RSA384 |
| RS512 | RSA512 |
| ES256 | ECDSA256 |
| ES384 | ECDSA384 |
| ES512 | ECDSA512 |
1.3 playload
載荷就是存放有效信息的地方。基本上填兩種類型的數(shù)據(jù)
1.標(biāo)準(zhǔn)中注冊(cè)的聲明的數(shù)據(jù)；
2.自定義數(shù)據(jù)；
由這兩部分內(nèi)部做 base64 加密。
標(biāo)準(zhǔn)中注冊(cè)的聲明（建議但不強(qiáng)制使用）
iss: jwt簽發(fā)者
sub: jwt所面向的用戶
aud: 接收jwt的一方
exp: jwt的過期時(shí)間，這個(gè)過期時(shí)間必須要大于簽發(fā)時(shí)間
nbf: 定義在什么時(shí)間之前，該jwt都是不可用的.
iat: jwt的簽發(fā)時(shí)間
jti: jwt的唯一身份標(biāo)識(shí)，主要用來作為一次性token,從而回避重放攻擊。
自定義數(shù)據(jù)：存放我們想放在 token 中存放的 key-value 值；
1.4 signature
JWT的第三部分是一個(gè)簽證信息，這個(gè)簽證信息由三部分組成；
base64 加密后的 header 和 base64 加密后的 payload 連接組成的字符串，然后通過 header 中聲明的加密方式進(jìn)行加鹽 secret 組合加密，然后就構(gòu)成了JWT的第三部分；
二 Spring Boot 和 JWT集成實(shí)例
依賴
2.1 項(xiàng)目依賴
<dependencies>
<dependency>
<groupId>com.auth0</groupId>
<artifactId>java-jwt</artifactId>
<version>3.8.1</version>
</dependency>
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-web</artifactId>
</dependency>
<dependency>
<groupId>io.jsonwebtoken</groupId>
<artifactId>jjwt</artifactId>
<version>0.9.1</version>
</dependency>
<dependency>
<groupId>com.auth0</groupId>
<artifactId>java-jwt</artifactId>
<version>3.8.1</version>
</dependency>
<!-- redis -->
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-data-redis</artifactId>
</dependency>
<!-- lombok -->
<dependency>
<groupId>org.projectlombok</groupId>
<artifactId>lombok</artifactId>
<scope>1.8.4</scope>
</dependency>
<dependency>
<groupId>com.alibaba</groupId>
<artifactId>fastjson</artifactId>
<version>1.2.47</version>
</dependency>
</dependencies>
2.2 自定義注解 @JwtToken
加上該注解的接口需要登錄才能訪問
@Target({ElementType.METHOD, ElementType.TYPE})
@Retention(RetentionPolicy.RUNTIME)
public @interface JwtToken {
boolean required() default true;
}
2.3 JWT認(rèn)證工具類 JwtUtil.java
主要用來生成簽名 校驗(yàn)簽證和通過簽名獲取信息
public class JwtUtil {
/**
* 過期時(shí)間5分鐘
*/
private static final long EXPIRE_TIME = 5 * 60 * 1000;
/**
* jwt 密鑰
*/
private static final String SECRET = "jwt_secret";
/**
* 生成簽名，五分鐘后過期
* @param userId
* @return
*/
public static String sign(String userId) {
try {
Date date = new Date(System.currentTimeMillis() + EXPIRE_TIME);
Algorithm algorithm = Algorithm.HMAC256(SECRET);
return JWT.create()
// 將 user id 保存到 token 里面
.withAudience(userId)
// 五分鐘后token過期
.withExpiresAt(date)
// token 的密鑰
.sign(algorithm);
} catch (Exception e) {
return null;
}
}
/**
* 根據(jù)token獲取userId
* @param token
* @return
*/
public static String getUserId(String token) {
try {
String userId = JWT.decode(token).getAudience().get(0);
return userId;
} catch (JWTDecodeException e) {
return null;
}
}
/**
* 校驗(yàn)token
* @param token
* @return
*/
public static boolean checkSign(String token) {
try {
Algorithm algorithm = Algorithm.HMAC256(SECRET);
JWTVerifier verifier = JWT.require(algorithm)
// .withClaim("username", username)
.build();
DecodedJWT jwt = verifier.verify(token);
return true;
} catch (JWTVerificationException exception) {
throw new RuntimeException("token 無效，請(qǐng)重新獲取");
}
}
}
2.4 攔截器攔截帶有注解的接口 JwtInterceptor.java
public class JwtInterceptor implements HandlerInterceptor {
@Override
public boolean preHandle(HttpServletRequest httpServletRequest, HttpServletResponse httpServletResponse, Object object) {
// 從 http 請(qǐng)求頭中取出 token
String token = httpServletRequest.getHeader("token");
// 如果不是映射到方法直接通過
if(!(object instanceof HandlerMethod)){
return true;
}
HandlerMethod handlerMethod=(HandlerMethod)object;
Method method=handlerMethod.getMethod();
//檢查有沒有需要用戶權(quán)限的注解
if (method.isAnnotationPresent(JwtToken.class)) {
JwtToken jwtToken = method.getAnnotation(JwtToken.class);
if (jwtToken.required()) {
// 執(zhí)行認(rèn)證
if (token == null) {
throw new RuntimeException("無token，請(qǐng)重新登錄");
}
// 獲取 token 中的 userId
String userId = JwtUtil.getUserId(token);
System.out.println("用戶id:" + userId);
// 驗(yàn)證 token
JwtUtil.checkSign(token);
}
}
return true;
}
@Override
public void postHandle(HttpServletRequest httpServletRequest, HttpServletResponse httpServletResponse, Object o, ModelAndView modelAndView) throws Exception {
}
@Override
public void afterCompletion(HttpServletRequest httpServletRequest, HttpServletResponse httpServletResponse, Object o, Exception e) throws Exception {
}
}
注冊(cè)攔截器：WebConfig.java
@Configuration
public class WebConfig implements WebMvcConfigurer {
/**
* 添加jwt攔截器
* @param registry
*/
@Override
public void addInterceptors(InterceptorRegistry registry) {
registry.addInterceptor(jwtInterceptor())
// 攔截所有請(qǐng)求，通過判斷是否有 @JwtToken 注解 決定是否需要登錄
.addPathPatterns("/**");
}
/**
* jwt攔截器
* @return
*/
@Bean
public JwtInterceptor jwtInterceptor() {
return new JwtInterceptor();
}
}
2.5 全局異常捕獲
@RestControllerAdvice
public class GlobalExceptionHandler {
@ResponseBody
@ExceptionHandler(Exception.class)
public Object handleException(Exception e) {
String msg = e.getMessage();
if (msg == null || msg.equals("")) {
msg = "服務(wù)器出錯(cuò)";
}
JSONObject jsonObject = new JSONObject();
jsonObject.put("message", msg);
return jsonObject;
}
}
2.6 接口 JwtController.java
@RestController
@RequestMapping("/jwt")
public class JwtController {
/**
* 登錄并獲取token
* @param userName
* @param passWord
* @return
*/
@PostMapping("/login")
public Object login( String userName, String passWord){
JSONObject jsonObject=new JSONObject();
// 檢驗(yàn)用戶是否存在(為了簡(jiǎn)單，這里假設(shè)用戶存在，并制造一個(gè)uuid假設(shè)為用戶id)
String userId = UUID.randomUUID().toString();
// 生成簽名
String token= JwtUtil.sign(userId);
Map<String, String> userInfo = new HashMap<>();
userInfo.put("userId", userId);
userInfo.put("userName", userName);
userInfo.put("passWord", passWord);
jsonObject.put("token", token);
jsonObject.put("user", userInfo);
return jsonObject;
}
/**
* 該接口需要帶簽名才能訪問
* @return
*/
@JwtToken
@GetMapping("/getMessage")
public String getMessage(){
return "你已通過驗(yàn)證";
}
}
2.7 Postman測(cè)試接口
2.7.1 在沒有token的情況下訪問jwt/getMessage 接口
2.7.2 先登錄，再訪問jwt/getMessage接口
登錄：
攜帶token再次請(qǐng)求jwt/getMessage接口
總結(jié)
到此這篇關(guān)于SpringBoot整合JWT Token的文章就介紹到這了,更多相關(guān)SpringBoot整合JWT Token內(nèi)容請(qǐng)搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持腳本之家！
相關(guān)文章
Java基于Socket實(shí)現(xiàn)簡(jiǎn)單的多線程回顯服務(wù)器功能示例
這篇文章主要介紹了Java基于Socket實(shí)現(xiàn)簡(jiǎn)單的多線程回顯服務(wù)器功能,結(jié)合實(shí)例形式分析了java使用socket進(jìn)行多線程數(shù)據(jù)傳輸?shù)南嚓P(guān)操作技巧,需要的朋友可以參考下2017-08-08
泛型在java中有很重要的地位，在面向?qū)ο缶幊碳案鞣N設(shè)計(jì)模式中有非常廣泛的應(yīng)用,下面這篇文章主要給大家介紹了Java泛型的相關(guān)資料,需要的朋友可以參考下2022-02-02
Struts2學(xué)習(xí)教程之輸入校驗(yàn)示例詳解
這篇文章主要給大家介紹了關(guān)于Struts2學(xué)習(xí)教程之輸入校驗(yàn)的相關(guān)資料，文中通過示例介紹的非常詳細(xì)，對(duì)大家學(xué)習(xí)或者使用struts2具有一定的參考學(xué)習(xí)價(jià)值，需要的朋友們下面隨著小編來一起學(xué)習(xí)學(xué)習(xí)吧2018-05-05
Spring boot整合Springfox生成restful的在線api文檔
這篇文章主要為大家介紹了Spring boot整合Springfox生成restful在線api文檔，有需要的朋友可以借鑒參考下，希望能夠有所幫助，祝大家多多進(jìn)步2022-03-03
Java?InheritableThreadLocal使用示例詳解
InheritableThreadLocal繼承了ThreadLocal，此類擴(kuò)展了ThreadLocal以提供從父線程到子線程的值的繼承：當(dāng)創(chuàng)建子線程時(shí)，子線程接收父線程具有的所有可繼承線程局部變量的初始值。?通常子線程的值與父線程的值是一致的2022-09-09
SpringBoot自動(dòng)配置Quartz的實(shí)現(xiàn)步驟
本文主要介紹了SpringBoot自動(dòng)配置Quartz的實(shí)現(xiàn)步驟，文中通過示例代碼介紹的非常詳細(xì)，具有一定的參考價(jià)值，感興趣的小伙伴們可以參考一下2021-11-11
Redis使用RedisTemplate模板類的常用操作方式
這篇文章主要介紹了Redis使用RedisTemplate模板類的常用操作方式，具有很好的參考價(jià)值，希望對(duì)大家有所幫助。如有錯(cuò)誤或未考慮完全的地方，望不吝賜教2021-09-09
java實(shí)現(xiàn)文件上傳、下載、圖片預(yù)覽
這篇文章主要介紹了java實(shí)現(xiàn)文件上傳、下載、圖片預(yù)覽,文中通過示例代碼介紹的非常詳細(xì)，對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值,需要的朋友可以參考下2020-01-01
詳解SpringBoot健康檢查的實(shí)現(xiàn)原理
這篇文章主要介紹了詳解SpringBoot健康檢查的實(shí)現(xiàn)原理，幫助大家更好的理解和學(xué)習(xí)使用SpringBoot框架，感興趣的朋友可以了解下2021-03-03
Java實(shí)現(xiàn)文件變化監(jiān)聽代碼實(shí)例
這篇文章主要介紹了Java實(shí)現(xiàn)文件變化監(jiān)聽代碼實(shí)例,通過定時(shí)任務(wù),輪訓(xùn)查詢文件的最后修改時(shí)間,與上一次進(jìn)行對(duì)比,如果發(fā)生變化,則說明文件已經(jīng)修改,進(jìn)行重新加載或?qū)?yīng)的業(yè)務(wù)邏輯處理,需要的朋友可以參考下2024-01-01