如何基于JWT實現接口的授權訪問詳解
更新時間：2022年02月20日 10:51:56 作者：xcbeyond
授權是最常見的JWT使用場景,下面這篇文章主要給大家介紹了關于如何基于JWT實現接口的授權訪問的相關資料,文中通過示例代碼介紹的非常詳細,需要的朋友可以參考下
什么是JWT
JWT(JSON Web Token)是一個開放標準（RFC 7519），它定義了一種緊湊且獨立的方式，可以在各個系統之間用JSON作為對象安全地傳輸信息，并且可以保證所傳輸的信息不會被篡改。
JWT通常有兩種應用場景：
- 授權。這是最常見的JWT使用場景。一旦用戶登錄，每個后續(xù)請求將包含一個JWT，作為該用戶訪問資源的令牌。
- 信息交換?？梢岳肑WT在各個系統之間安全地傳輸信息，JWT的特性使得接收方可以驗證收到的內容是否被篡改。
本文討論第一點，如何利用JWT來實現對API的授權訪問。這樣就只有經過授權的用戶才可以調用API。
JWT的結構
JWT由三部分組成，用.分割開。
Header
第一部分為Header，通常由兩部分組成：令牌的類型，即JWT，以及所使用的加密算法。
{
"alg": "HS256",
"typ": "JWT"
}Base64加密后，就變成了:
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9
Payload
第二部分為Payload，里面可以放置自定義的信息，以及過期時間、發(fā)行人等。
{
"sub": "1234567890",
"name": "John Doe",
"iat": 1516239022
}Base64加密后，就變成了:
eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ
Signature
第三部分為Signature，計算此簽名需要四部分信息：
- Header里的算法信息
- Header
- Payload
- 一個自定義的秘鑰
接受到JWT后，利用相同的信息再計算一次簽名，然年與JWT中的簽名對比，如果不相同則說明JWT中的內容被篡改。
解碼后的JWT
?將上面三部分都編碼后再合在一起就得到了JWT。
需要注意的是，JWT的內容并不是加密的，只是簡單的Base64編碼。 也就是說，JWT一旦泄露，里面的信息可以被輕松獲取，因此不應該用JWT保存任何敏感信息。
JWT是怎樣工作的
- 應用程序或客戶端向授權服務器請求授權。這里的授權服務器可以是單獨的一個應用，也可以和API集成在同一個應用里。
- 授權服務器向應用程序返回一個JWT。
- 應用程序將JWT放入到請求里（通常放在HTTP的Authorization頭里）
- 服務端接收到請求后，驗證JWT并執(zhí)行對應邏輯。
在JAVA里使用JWT
引入依賴
<dependency>
<groupId>io.jsonwebtoken</groupId>
<artifactId>jjwt</artifactId>
</dependency>這里使用了一個叫JJWT(Java JWT)的庫。
JWT Service
生成JWT
public String generateToken(String payload) {
return Jwts.builder()
.setSubject(payload)
.setExpiration(new Date(System.currentTimeMillis() + 10000))
.signWith(SignatureAlgorithm.HS256, SECRET_KEY)
.compact();
}- 這里設置過期時間為10秒，因此生成的JWT只在10秒內能通過驗證。
- 需要提供一個自定義的秘鑰。
解碼JWT
public String parseToken(String jwt) {
return Jwts.parser()
.setSigningKey(SECRET_KEY)
.parseClaimsJws(jwt)
.getBody()
.getSubject();
}解碼時會檢查JWT的簽名，因此需要提供秘鑰。
驗證JWT
public boolean isTokenValid(String jwt) {
try {
parseToken(jwt);
} catch (Throwable e) {
return false;
}
return true;
}JWT并沒有提供判斷JWT是否合法的方法，但是在解碼非法JWT時會拋出異常，因此可以通過捕獲異常的方式來判斷是否合法。
注冊/登錄
@GetMapping("/registration")
public String register(@RequestParam String username, HttpServletResponse response) {
String jwt = jwtService.generateToken(username);
response.setHeader(JWT_HEADER_NAME, jwt);
return String.format("JWT for %s :\n%s", username, jwt);
}- 需要為還沒有獲取到JWT的用戶提供一個這樣的注冊或者登錄入口，來獲取JWT。
- 獲取到響應里的JWT后，要在后續(xù)的請求里包含JWT，這里放在請求的Authorization頭里。
驗證JWT
@Override
public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
HttpServletRequest httpServletRequest = (HttpServletRequest) request;
HttpServletResponse httpServletResponse = (HttpServletResponse) response;
String jwt = httpServletRequest.getHeader(JWT_HEADER_NAME);
if (WHITE_LIST.contains(httpServletRequest.getRequestURI())) {
chain.doFilter(request, response);
} else if (isTokenValid(jwt)) {
updateToken(httpServletResponse, jwt);
chain.doFilter(request, response);
} else {
httpServletResponse.sendError(HttpServletResponse.SC_UNAUTHORIZED);
}
}
private void updateToken(HttpServletResponse httpServletResponse, String jwt) {
String payload = jwtService.parseToken(jwt);
String newToken = jwtService.generateToken(payload);
httpServletResponse.setHeader(JWT_HEADER_NAME, newToken);
}- 將驗證操作放在Filter里，這樣除了登錄入口，其它的業(yè)務代碼將感覺不到JWT的存在。
- 將登錄入口放在WHITE_LIST里，跳過對這些入口的驗證。
- 需要刷新JWT。如果JWT是合法的，那么應該用同樣的Payload來生成一個新的JWT，這樣新的JWT就會有新的過期時間，用此操作來刷新JWT，以防過期。
- 如果使用Filter，那么刷新的操作要在調用doFilter()之前，因為調用之后就無法再修改response了。
API
private final static String JWT_HEADER_NAME = "Authorization";
@GetMapping("/api")
public String testApi(HttpServletRequest request, HttpServletResponse response) {
String oldJwt = request.getHeader(JWT_HEADER_NAME);
String newJwt = response.getHeader(JWT_HEADER_NAME);
return String.format("Your old JWT is:\n%s \nYour new JWT is:\n%s\n", oldJwt, newJwt);
}這時候API就處于JWT的保護下了。API可以完全不用感知到JWT的存在，同時也可以主動獲取JWT并解碼，以得到JWT里的信息。如上所示。
參考資料：jwt.io/
總結
到此這篇關于如何基于JWT實現接口的授權訪問的文章就介紹到這了,更多相關JWT接口的授權訪問內容請搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關文章希望大家以后多多支持腳本之家！
相關文章
這篇文章主要介紹了如何獲取java新IO的Path文件大小,文中通過示例代碼介紹的非常詳細，對大家的學習或者工作具有一定的參考學習價值,需要的朋友可以參考下2019-09-09
本文主要講解了java 排序算法之選擇排序，選擇排序是最簡單直觀的一種算法，想要了解相關知識的朋友快來看一看這篇文章吧2021-09-09
java8中為接口新增了一項功能,定義一個或者更多個靜態(tài)方法,類似于類中的靜態(tài)方法,接口定義的靜態(tài)方法可以獨立于任何對象調用,下面這篇文章主要給大家介紹了關于Java8接口之默認方法與靜態(tài)方法的相關資料,需要的朋友可以參考下2022-03-03
這篇文章主要為大家介紹了解析Arthas協助排查線上skywalking不可用的問題詳解，有需要的朋友可以借鑒參考下，希望能夠有所幫助，祝大家多多進步，早日升職加薪2022-02-02
RestTemplate報錯I/O?error?on?POST?request?for的解決辦法
這篇文章主要給大家介紹了關于RestTemplate報錯I/O?error?on?POST?request?for的解決辦法,文中通過代碼實例將解決的辦法介紹的非常詳細,需要的朋友可以參考下2023-08-08
SpringMVC的處理器適配器-HandlerAdapter的用法及說明
這篇文章主要介紹了SpringMVC的處理器適配器-HandlerAdapter的用法及說明,具有很好的參考價值,希望對大家有所幫助,如有錯誤或未考慮完全的地方,望不吝賜教2023-12-12
本文主要介紹了Java 得到集合中所有子集的方法。具有很好的參考價值，下面跟著小編一起來看下吧2017-02-02
在Spring Boot中,可以使用TransactionTemplate或@Transactional注解來進行事務管理,本文主要介紹了SpringBoot中進行事務回滾的方法,感興趣的可以了解一下2023-11-11
詳解hashCode()和equals()的本質區(qū)別和聯系
這篇文章主要介紹了詳解hashCode()和equals()的本質區(qū)別和聯系，本文先對兩種方法作了介紹，然后對二者聯系進行分析，具有一定參考價值，需要的朋友可以了解下。2017-09-09
這篇文章主要介紹了Java 正確終止線程的方法，幫助大家更好的理解和學習java 多線程的相關知識，感興趣的朋友可以了解下2020-12-12