JWT整合Springboot的方法步驟
1.基于JWT認(rèn)證
1.1 認(rèn)證流程
- 首先,前端通過(guò)Web表單將自己的用戶(hù)名和密碼發(fā)送到后端的接口。這一過(guò)程一般是一個(gè)HTTP
POST
請(qǐng)求。建議的方式是通過(guò)SSL加密的傳輸(https協(xié)議),從而避免敏感信息被嗅探。 - 后端核對(duì)用戶(hù)名和密碼成功后,將用戶(hù)的id等其他信息作為JWT
Payload
(負(fù)載),將其與頭部分別進(jìn)行Base64
編碼拼接后簽名,形成一個(gè)JWT(Token
)。形成的JWT就是一個(gè)形同lll.zzz.xxx
的字符串。 tokenhead.payload.singurater
- 后端將JWT字符串作為登錄成功的返回結(jié)果返回給前端。前端可以將返回的結(jié)果保存在
localStorage
或sessionStorage
上,退出登錄時(shí)前端刪除保存的JWT即可。 - 前端在每次請(qǐng)求時(shí)將JWT放入HTTP Header中的
Authorization
位。(解決XSS和XSRF問(wèn)題) HEADER - 后端檢查是否存在,如存在驗(yàn)證JWT的有效性。例如,檢查簽名是否正確;檢查T(mén)oken是否過(guò)期;檢查T(mén)oken的接收方是否是自己(可選)。
- 驗(yàn)證通過(guò)后,后端使用JWT中包含的用戶(hù)信息進(jìn)行其他邏輯操作,返回相應(yīng)結(jié)果。
1.2 JWT優(yōu)勢(shì)
- 簡(jiǎn)潔(Compact): 可以通過(guò)URL,POST參數(shù)或者在HTTP header發(fā)送,因?yàn)閿?shù)據(jù)量小,傳輸速度也很快
- 自包含(Self-contained):負(fù)載中包含了所有用戶(hù)所需要的信息,避免了多次查詢(xún)數(shù)據(jù)庫(kù)
- 因?yàn)門(mén)oken是以JSON加密的形式保存在客戶(hù)端的,所以JWT是跨語(yǔ)言的,原則上任何web形式都支持
- 不需要在服務(wù)端保存會(huì)話(huà)信息,特別適用于分布式微服務(wù)
1.3 JWT的結(jié)構(gòu)是什么
token string ====> header.payload.singnature token
令牌組成
- 標(biāo)頭(Header)
- 有效載荷(Payload)
- 簽名(Signature)
因此,JWT通常如下所示:xxxxx.yyyyy.zzzzz Header.Payload.Signature
Header
標(biāo)頭通常由兩部分組成:令牌的類(lèi)型(即JWT)
和所使用的簽名算法
,例如HMAC SHA256或RSA。它會(huì)使用 Base64 編碼組成 JWT 結(jié)構(gòu)的第一部分。
注意:Base64是一種編碼,也就是說(shuō),它是可以被翻譯回原來(lái)的樣子來(lái)的。它并不是一種加密過(guò)程。
{ "alg": "HS256", "typ": "JWT" }
Payload
令牌的第二部分是有效負(fù)載,其中包含聲明。聲明是有關(guān)實(shí)體(通常是用戶(hù))和其他數(shù)據(jù)的聲明
。同樣的,它會(huì)使用 Base64 編碼組成 JWT 結(jié)構(gòu)的第二部分
{ "sub": "1234567890", "name": "John Doe", "admin": true }
Signature
前面兩部分都是使用 Base64 進(jìn)行編碼的,即前端可以解開(kāi)知道里面的信息。Signature 需要使用編碼后的 header 和 payload以及我們提供的一個(gè)密鑰
,然后使用 header 中指定的簽名算法(HS256)進(jìn)行簽名。簽名的作用是保證 JWT 沒(méi)有被篡改過(guò)如:HMACSHA256(base64UrlEncode(header) + “.” + base64UrlEncode(payload),secret);
簽名目的
最后一步簽名的過(guò)程,實(shí)際上是對(duì)頭部以及負(fù)載內(nèi)容進(jìn)行簽名,防止內(nèi)容被竄改。如果有人對(duì)頭部以及負(fù)載的內(nèi)容解碼之后進(jìn)行修改,再進(jìn)行編碼,最后加上之前的簽名組合形成新的JWT的話(huà),那么服務(wù)器端會(huì)判斷出新的頭部和負(fù)載形成的簽名和JWT附帶上的簽名是不一樣的。如果要對(duì)新的頭部和負(fù)載進(jìn)行簽名,在不知道服務(wù)器加密時(shí)用的密鑰的話(huà),得出來(lái)的簽名也是不一樣的。
信息安全問(wèn)題
在這里大家一定會(huì)問(wèn)一個(gè)問(wèn)題:Base64是一種編碼,是可逆的,那么我的信息不就被暴露了嗎?
是的。所以,在JWT中,
不應(yīng)該在負(fù)載里面加入任何敏感的數(shù)據(jù)
。在上面的例子中,我們傳輸?shù)氖怯脩?hù)的User ID。這個(gè)值實(shí)際上不是什么敏感內(nèi)容,一般情況下被知道也是安全的。但是像密碼這樣的內(nèi)容就不能被放在JWT中了。如果將用戶(hù)的密碼放在了JWT中,那么懷有惡意的第三方通過(guò)Base64解碼就能很快地知道你的密碼了。因此JWT適合用于向Web應(yīng)用傳遞一些非敏感信息。JWT還經(jīng)常用于設(shè)計(jì)用戶(hù)認(rèn)證和授權(quán)系統(tǒng),甚至
實(shí)現(xiàn)Web應(yīng)用的單點(diǎn)登錄。
2.使用JWT
引入依賴(lài)
<!--引入jwt--> <dependency> <groupId>com.auth0</groupId> <artifactId>java-jwt</artifactId> <version>3.4.0</version> </dependency>
生成token
@Test void contextLoads() { HashMap<String, Object> map = new HashMap<>(); Calendar instance=Calendar.getInstance(); instance.add(Calendar.SECOND,200); //獲取token String token = JWT.create().withHeader(map) //header,默認(rèn),可以不寫(xiě) .withClaim("userId", 23) .withClaim("username", "xpp") //palyload .withExpiresAt(instance.getTime()) //指定令牌的過(guò)期時(shí)間 .sign(Algorithm.HMAC256("xpp@ll"));//簽名,指定秘鑰 System.out.println(token); }
生成結(jié)果
eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJleHAiOjE2Mzc5MDM2OTksInVzZXJJZCI6MjMsInVzZXJuYW1lIjoieHBwIn0.dnWldEBILZpt7Upz762VcMm-uTU9HI5jK-AHk3XyX0s
根據(jù)令牌和簽名解析數(shù)據(jù)
@Test public void test(){ //創(chuàng)建驗(yàn)證對(duì)象 JWTVerifier jwtVerifier = JWT.require(Algorithm.HMAC256("xpp@ll")).build(); //驗(yàn)證token DecodedJWT verify = jwtVerifier.verify("eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJleHAiOjE2Mzc5MDM2OTksInVzZXJJZCI6MjMsInVzZXJuYW1lIjoieHBwIn0.dnWldEBILZpt7Upz762VcMm-uTU9HI5jK-AHk3XyX0s"); //獲取存入palyload的信息 Date expiresAt = verify.getExpiresAt(); System.out.println(expiresAt); System.out.println(verify.getClaim("userId").asInt()); }
常見(jiàn)異常信息
SignatureVerificationException
: 簽名不一致異常TokenExpiredException
: 令牌過(guò)期異常AlgorithmMismatchException
: 算法不匹配異常InvalidClaimException
: 失效的payload異常
3.整合Springboot
引入依賴(lài)
<!--引入jwt--> <dependency> <groupId>com.auth0</groupId> <artifactId>java-jwt</artifactId> <version>3.4.0</version> </dependency> <!--引入mybatis--> <dependency> <groupId>org.mybatis.spring.boot</groupId> <artifactId>mybatis-spring-boot-starter</artifactId> <version>2.1.3</version> </dependency> <!--引入lombok--> <dependency> <groupId>org.projectlombok</groupId> <artifactId>lombok</artifactId> <version>1.18.12</version> </dependency> <!--引入druid--> <dependency> <groupId>com.alibaba</groupId> <artifactId>druid</artifactId> <version>1.1.19</version> </dependency> <!--引入mysql--> <dependency> <groupId>mysql</groupId> <artifactId>mysql-connector-java</artifactId> <version>5.1.38</version> </dependency>
配置
server.port=8989 spring.application.name=jwt spring.datasource.type=com.alibaba.druid.pool.DruidDataSource spring.datasource.driver-class-name=com.mysql.jdbc.Driver spring.datasource.url=jdbc:mysql://localhost:3306/jwt?characterEncoding=UTF-8 spring.datasource.username=root spring.datasource.password=root mybatis.type-aliases-package=com.baizhi.entity mybatis.mapper-locations=classpath:com/baizhi/mapper/*.xml logging.level.com.baizhi.dao=debug
數(shù)據(jù)庫(kù)表
DROP TABLE IF EXISTS `user`; CREATE TABLE `user` ( `id` int(11) NOT NULL AUTO_INCREMENT COMMENT '主鍵', `name` varchar(80) DEFAULT NULL COMMENT '用戶(hù)名', `password` varchar(40) DEFAULT NULL COMMENT '用戶(hù)密碼', PRIMARY KEY (`id`) ) ENGINE=InnoDB AUTO_INCREMENT=2 DEFAULT CHARSET=utf8;
實(shí)體類(lèi)
@Data @Accessors(chain=true) public class User { private String id; private String name; private String password; }
開(kāi)發(fā)DAO接口和mapper.xml
@Mapper public interface UserDAO { User login(User user); }
<mapper namespace="com.baizhi.dao.UserDAO"> <!--這里就寫(xiě)的簡(jiǎn)單點(diǎn)了畢竟不是重點(diǎn)--> <select id="login" parameterType="User" resultType="User"> select * from user where name=#{name} and password = #{password} </select> </mapper>
開(kāi)發(fā)Service 接口以及實(shí)現(xiàn)類(lèi)
public interface UserService { User login(User user);//登錄接口 }
@Service @Transactional public class UserServiceImpl implements UserService { @Autowired private UserDAO userDAO; @Override @Transactional(propagation = Propagation.SUPPORTS) public User login(User user) { User userDB = userDAO.login(user); if(userDB!=null){ return userDB; } throw new RuntimeException("登錄失敗~~"); } }
編寫(xiě)JWT工具類(lèi)
/** * @Auther: xppll * @Date: 2021/11/26 13:25 */ public class JWTUtils { //秘鑰 private static final String TOKEN = "xpp@ll"; /** * 生成token(head.playload.sing) * * @param map 用戶(hù)傳過(guò)了的信息,例如id等 * @return */ public static String getToken(Map<String, String> map) { Calendar instance = Calendar.getInstance(); //設(shè)置默認(rèn)7天過(guò)期 instance.add(Calendar.DATE, 7); //創(chuàng)建jwt builder JWTCreator.Builder builder = JWT.create(); //payload map.forEach((k, v) -> { builder.withClaim(k, v); }); //指定令牌過(guò)期時(shí)間 String token = builder.withExpiresAt(instance.getTime()) //sign,傳入加密鹽 .sign(Algorithm.HMAC256(TOKEN)); return token; } /** * 驗(yàn)證token合法性 * * @param token */ public static void verify(String token) { JWT.require(Algorithm.HMAC256(TOKEN)).build().verify(token); } /** * 獲取token信息方法 * * @param token * @return */ public static DecodedJWT getTokenInfo(String token) { DecodedJWT verify = JWT.require(Algorithm.HMAC256(TOKEN)).build().verify(token); return verify; } }
開(kāi)發(fā)controller
/** * @Auther: xppll * @Date: 2021/11/26 14:07 */ @RestController @Slf4j public class UserController { @Autowired private UserService userService; @GetMapping("/user/login") public Map<String, Object> login(User user) { Map<String, Object> map = new HashMap<>(); try { User userDB = userService.login(user); //用來(lái)存放payload Map<String, String> payload = new HashMap<>(); payload.put("id", userDB.getId()); payload.put("name", userDB.getName()); //生成JWT的令牌 String token = JWTUtils.getToken(payload); map.put("state", true); map.put("msg", "成功"); //成功返回token信息 map.put("token", token); } catch (Exception e) { map.put("state", false); map.put("msg", e.getMessage()); } return map; } }
數(shù)據(jù)庫(kù)添加測(cè)試數(shù)據(jù)啟動(dòng)項(xiàng)目
通過(guò)postman模擬登錄失敗
通過(guò)postman模擬登錄成功
編寫(xiě)測(cè)試接口
@PostMapping("user/test") public Map<String, Object> test(String token) { //通過(guò)攔截器驗(yàn)證了,token驗(yàn)證成功 Map<String, Object> map = new HashMap<>(); map.put("state", true); map.put("msg", "請(qǐng)求成功!"); return map; }
使用攔截器驗(yàn)證toke
/** * @Auther: xppll * @Date: 2021/11/26 15:20 */ @Component public class JWTInterceptor implements HandlerInterceptor { @Override public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception { //獲取請(qǐng)求頭中存放的令牌token String token = request.getHeader("token"); Map<String, Object> map = new HashMap<>(); try { //驗(yàn)證令牌 JWTUtils.verify(token); return true; } catch (SignatureVerificationException e) { e.printStackTrace(); map.put("msg", "無(wú)效簽名"); } catch (AlgorithmMismatchException e) { e.printStackTrace(); map.put("msg", "token算法不一致"); } catch (TokenExpiredException e) { e.printStackTrace(); map.put("msg", "token過(guò)期"); } catch (Exception e) { e.printStackTrace(); map.put("msg", "token無(wú)效"); } map.put("state", false); //將map轉(zhuǎn)為json,返回給前端 String json = new ObjectMapper().writeValueAsString(map); response.setContentType("application/json;charset=utf-8"); response.getWriter().print(json); return false; } }
使攔截器生效
/**
* @Auther: xppll
* @Date: 2021/11/26 15:28
*/
@Configuration
public class InterceptorConfig implements WebMvcConfigurer {
@Autowired
private JWTInterceptor jwtInterceptor;
@Override
public void addInterceptors(InterceptorRegistry registry) {
registry.addInterceptor(jwtInterceptor)
//其他接口需要token驗(yàn)證,攔截器攔截
.addPathPatterns("/user/test")
.excludePathPatterns("/user/login");
}
}
到此這篇關(guān)于JWT整合Springboot的方法步驟的文章就介紹到這了,更多相關(guān)JWT整合Springboot內(nèi)容請(qǐng)搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持腳本之家!
- SpringBoot結(jié)合JWT登錄權(quán)限控制的實(shí)現(xiàn)
- SpringBoot+JWT實(shí)現(xiàn)注冊(cè)、登錄、狀態(tài)續(xù)簽流程分析
- SpringBoot集成JWT實(shí)現(xiàn)登陸驗(yàn)證的方法詳解
- SpringBoot-JWT生成Token和攔截器的使用(訪(fǎng)問(wèn)受限資源)
- SpringBoot整合JWT的實(shí)現(xiàn)示例
- 基于Springboot實(shí)現(xiàn)JWT認(rèn)證的示例代碼
- SpringBoot JWT接口驗(yàn)證實(shí)現(xiàn)流程詳細(xì)介紹
相關(guān)文章
關(guān)于idea一直卡在build不動(dòng)的解決方案
這篇文章主要介紹了idea一直卡在build不動(dòng)的解決方案,本文給大家介紹的非常詳細(xì),對(duì)大家的學(xué)習(xí)或工作具有一定的參考借鑒價(jià)值,需要的朋友可以參考下2020-10-10解決Mybatis?plus實(shí)體類(lèi)屬性與表字段不一致的問(wèn)題
這篇文章主要介紹了Mybatis?plus實(shí)體類(lèi)屬性與表字段不一致解決方法,文末給大家提到了Mybatis-plus中數(shù)據(jù)庫(kù)表名和表字段名的相關(guān)知識(shí),需要的朋友可以參考下2022-07-07java基于ConcurrentHashMap設(shè)計(jì)細(xì)粒度實(shí)現(xiàn)代碼
這篇文章主要介紹了java基于ConcurrentHashMap設(shè)計(jì)細(xì)粒度實(shí)現(xiàn)代碼,通過(guò)ConcurrentHashMap實(shí)現(xiàn)細(xì)粒度,具有一定參考價(jià)值,需要的朋友可以了解。2017-10-10Springboot整合pagehelper分頁(yè)功能
這篇文章主要為大家詳細(xì)介紹了Springboot整合pagehelper分頁(yè)功能,文中示例代碼介紹的非常詳細(xì),具有一定的參考價(jià)值,感興趣的小伙伴們可以參考一下2017-12-12springboot實(shí)現(xiàn)公眾號(hào)接收回復(fù)消息和超過(guò)5秒被動(dòng)回復(fù)消息
本文主要介紹了springboot實(shí)現(xiàn)公眾號(hào)接收回復(fù)消息和超過(guò)5秒被動(dòng)回復(fù)消息,文中通過(guò)示例代碼介紹的非常詳細(xì),具有一定的參考價(jià)值,感興趣的小伙伴們可以參考一下2022-05-05Springboot集成spring data elasticsearch過(guò)程詳解
這篇文章主要介紹了springboot集成spring data elasticsearch過(guò)程詳解,文中通過(guò)示例代碼介紹的非常詳細(xì),對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值,需要的朋友可以參考下2020-04-04servlet實(shí)現(xiàn)文件下載的步驟及說(shuō)明詳解
這篇文章主要為大家詳細(xì)介紹了servlet實(shí)現(xiàn)文件下載的步驟及說(shuō)明,具有一定的參考價(jià)值,感興趣的小伙伴們可以參考一下2017-09-09