• jwt的简介以及jwt工具类的介绍


    目录

    一. jwt的简介

    二. jwt工具类介绍

    三. jwt集成spa项目


    一. jwt的简介

    JWT全称为JSON Web Token,是一种用于身份验证和授权的开放标准。它是一个紧凑且安全的方式,通过在不同系统之间传递可信任的信息来实现用户身份验证。JWT由三部分组成:头部(Header)、载荷(Payload)和签名(Signature)。

    头部包含了描述令牌类型和所使用的加密算法的元数据。常见的加密算法有HMAC、RSA等。载荷包含了要传输的数据,比如用户ID、角色和其他相关的声明信息。载荷可以自定义,但需要遵循一定的规范。

    签名是对头部和载荷进行签名生成的,用于验证令牌的真实性和完整性。它使用头部中指定的加密算法和密钥进行签名,并将签名与头部和载荷一起编码为一个字符串形式的JWT。

    JWT的精髓在于:“去中心化”,数据是保存在客户端的。 

    JWT的工作流程通常如下:当用户登录时,服务器会生成一个JWT并返回给客户端。客户端在后续的请求中将这个JWT放在请求的头部或参数中发送给服务器。服务器在接收到请求后会解析JWT,并根据其中的信息进行身份验证和授权。

    JWT的优点是可以避免在服务器端存储session信息,使得服务端无状态化,提高了系统的可扩展性。同时,JWT还具有跨域支持和自包含性的特点,使得它在分布式系统中广泛应用。

    需要注意的是,JWT仅仅对于信息的完整性和真实性提供了保护,但并不加密具体的数据。因此,在使用JWT时,应避免在载荷中包含敏感信息,或者对敏感信息进行加密处理。另外,由于JWT是基于Token的认证方式,为了确保安全性,应采取适当的措施保护JWT的传输过程和存储过程。

     

    二. jwt工具类介绍

    JWT工具类是一个用于生成、解析和验证JSON Web Token的辅助类。它提供了一系列方法来简化JWT的处理过程,使得开发者可以方便地在应用中使用JWT进行身份验证和授权。

    JWT工具类通常包括以下功能:

    1. 生成JWT:提供方法用于生成JWT,传入有效载荷和加密密钥等参数,生成符合规范的JWT字符串。

    2. 解析JWT:提供方法用于解析JWT,将JWT字符串解析成头部和载荷的JSON对象,并对签名进行验证。

    3. 验证JWT:提供方法用于验证JWT的有效性,包括验证签名是否正确、验证令牌是否过期等。

    4. 获取载荷信息:提供方法用于获取JWT中的载荷信息,比如用户ID、角色等。

    5. 刷新JWT:提供方法用于刷新JWT,生成新的JWT并返回给客户端,用于延长认证的有效期。

    6. 配置参数:提供方法用于配置JWT的相关参数,比如加密算法、密钥、过期时间等。

    使用JWT工具类可以简化JWT的处理逻辑,减少代码重复性,并增加系统的安全性。通过封装好的方法,开发者可以方便地在不同的场景中使用JWT进行身份验证和授权,提高开发效率。但需要注意,在使用JWT工具类时,应确保密钥的安全性,避免泄露导致令牌被篡改或伪造。

    1. package com.zking.ssm.jwt;
    2. import java.util.Date;
    3. import java.util.Map;
    4. import java.util.UUID;
    5. import javax.crypto.SecretKey;
    6. import javax.crypto.spec.SecretKeySpec;
    7. import org.apache.commons.codec.binary.Base64;
    8. import io.jsonwebtoken.Claims;
    9. import io.jsonwebtoken.JwtBuilder;
    10. import io.jsonwebtoken.Jwts;
    11. import io.jsonwebtoken.SignatureAlgorithm;
    12. /**
    13. * JWT验证过滤器:配置顺序 CorsFilte->JwtUtilsr-->StrutsPrepareAndExecuteFilter
    14. *
    15. */
    16. public class JwtUtils {
    17. /**
    18. * JWT_WEB_TTL:WEBAPP应用中token的有效时间,默认30分钟
    19. */
    20. public static final long JWT_WEB_TTL = 30 * 60 * 1000;
    21. /**
    22. * 将jwt令牌保存到header中的key
    23. */
    24. public static final String JWT_HEADER_KEY = "jwt";
    25. // 指定签名的时候使用的签名算法,也就是header那部分,jwt已经将这部分内容封装好了。
    26. private static final SignatureAlgorithm SIGNATURE_ALGORITHM = SignatureAlgorithm.HS256;
    27. private static final String JWT_SECRET = "f356cdce935c42328ad2001d7e9552a3";// JWT密匙
    28. private static final SecretKey JWT_KEY;// 使用JWT密匙生成的加密key
    29. static {
    30. byte[] encodedKey = Base64.decodeBase64(JWT_SECRET);
    31. JWT_KEY = new SecretKeySpec(encodedKey, 0, encodedKey.length, "AES");
    32. }
    33. private JwtUtils() {
    34. }
    35. /**
    36. * 解密jwt,获得所有声明(包括标准和私有声明)
    37. *
    38. * @param jwt
    39. * @return
    40. * @throws Exception
    41. */
    42. public static Claims parseJwt(String jwt) {
    43. Claims claims = Jwts.parser()
    44. .setSigningKey(JWT_KEY)
    45. .parseClaimsJws(jwt)
    46. .getBody();
    47. return claims;
    48. }
    49. /**
    50. * 创建JWT令牌,签发时间为当前时间
    51. *
    52. * @param claims
    53. * 创建payload的私有声明(根据特定的业务需要添加,如果要拿这个做验证,一般是需要和jwt的接收方提前沟通好验证方式的)
    54. * @param ttlMillis
    55. * JWT的有效时间(单位毫秒),当前时间+有效时间=过期时间
    56. * @return jwt令牌
    57. */
    58. public static String createJwt(Map<String, Object> claims,
    59. long ttlMillis) {
    60. // 生成JWT的时间,即签发时间 2021-10-30 10:02:00 -> 30 10:32:00
    61. long nowMillis = System.currentTimeMillis();
    62. //链式语法:
    63. // 下面就是在为payload添加各种标准声明和私有声明了
    64. // 这里其实就是new一个JwtBuilder,设置jwt的body
    65. JwtBuilder builder = Jwts.builder()
    66. // 如果有私有声明,一定要先设置这个自己创建的私有的声明,这个是给builder的claim赋值,一旦写在标准的声明赋值之后,就是覆盖了那些标准的声明的
    67. .setClaims(claims)
    68. // 设置jti(JWT ID):是JWT的唯一标识,根据业务需要,这个可以设置为一个不重复的值,主要用来作为一次性token,从而回避重放攻击。
    69. // 可以在未登陆前作为身份标识使用
    70. .setId(UUID.randomUUID().toString().replace("-", ""))
    71. // iss(Issuser)签发者,写死
    72. .setIssuer("zking")
    73. // iat: jwt的签发时间
    74. .setIssuedAt(new Date(nowMillis))
    75. // 代表这个JWT的主体,即它的所有人,这个是一个json格式的字符串,可放数据{"uid":"zs"}。此处没放
    76. // .setSubject("{}")
    77. // 设置签名使用的签名算法和签名使用的秘钥
    78. .signWith(SIGNATURE_ALGORITHM, JWT_KEY)
    79. // 设置JWT的过期时间
    80. .setExpiration(new Date(nowMillis + ttlMillis));
    81. return builder.compact();
    82. }
    83. /**
    84. * 复制jwt,并重新设置签发时间(为当前时间)和失效时间
    85. *
    86. * @param jwt
    87. * 被复制的jwt令牌
    88. * @param ttlMillis
    89. * jwt的有效时间(单位毫秒),当前时间+有效时间=过期时间
    90. * @return
    91. */
    92. public static String copyJwt(String jwt, Long ttlMillis) {
    93. //解密JWT,获取所有的声明(私有和标准)
    94. //old
    95. Claims claims = parseJwt(jwt);
    96. // 生成JWT的时间,即签发时间
    97. long nowMillis = System.currentTimeMillis();
    98. // 下面就是在为payload添加各种标准声明和私有声明了
    99. // 这里其实就是new一个JwtBuilder,设置jwt的body
    100. JwtBuilder builder = Jwts.builder()
    101. // 如果有私有声明,一定要先设置这个自己创建的私有的声明,这个是给builder的claim赋值,一旦写在标准的声明赋值之后,就是覆盖了那些标准的声明的
    102. .setClaims(claims)
    103. // 设置jti(JWT ID):是JWT的唯一标识,根据业务需要,这个可以设置为一个不重复的值,主要用来作为一次性token,从而回避重放攻击。
    104. // 可以在未登陆前作为身份标识使用
    105. //.setId(UUID.randomUUID().toString().replace("-", ""))
    106. // iss(Issuser)签发者,写死
    107. // .setIssuer("zking")
    108. // iat: jwt的签发时间
    109. .setIssuedAt(new Date(nowMillis))
    110. // 代表这个JWT的主体,即它的所有人,这个是一个json格式的字符串,可放数据{"uid":"zs"}。此处没放
    111. // .setSubject("{}")
    112. // 设置签名使用的签名算法和签名使用的秘钥
    113. .signWith(SIGNATURE_ALGORITHM, JWT_KEY)
    114. // 设置JWT的过期时间
    115. .setExpiration(new Date(nowMillis + ttlMillis));
    116. return builder.compact();
    117. }
    118. }

    三. jwt集成spa项目

    后台要求:

    1. 用户登录方法,放开用户信息生成jwt串保存到响应头中

    1. package com.zking.ssm.controller;
    2. import com.zking.ssm.service.IUserService;
    3. import com.zking.ssm.util.JsonResponseBody;
    4. import com.zking.ssm.util.PageBean;
    5. import com.zking.ssm.vo.UserVo;
    6. import org.springframework.beans.factory.annotation.Autowired;
    7. import org.springframework.stereotype.Controller;
    8. import org.springframework.web.bind.annotation.RequestMapping;
    9. import org.springframework.web.bind.annotation.ResponseBody;
    10. import javax.servlet.http.HttpServletRequest;
    11. import javax.servlet.http.HttpServletResponse;
    12. import java.util.HashMap;
    13. import java.util.List;
    14. import java.util.Map;
    15. import com.zking.ssm.jwt.*;
    16. @Controller
    17. @RequestMapping("/user")
    18. public class UserController {
    19. @Autowired
    20. private IUserService userService;
    21. @RequestMapping("/userLogin")
    22. @ResponseBody
    23. public JsonResponseBody<?> userLogin(UserVo userVo, HttpServletResponse response){
    24. if(userVo.getUsername().equals("admin")&&userVo.getPassword().equals("123")){
    25. //私有要求claim
    26. Map<String,Object> json=new HashMap<String,Object>();
    27. json.put("username", userVo.getUsername());
    28. // 生成JWT,并设置到response响应头中
    29. String jwt=JwtUtils.createJwt(json, JwtUtils.JWT_WEB_TTL);
    30. response.setHeader(JwtUtils.JWT_HEADER_KEY, jwt);
    31. return new JsonResponseBody<>("用户登陆成功!",true,0,null);
    32. }else{
    33. return new JsonResponseBody<>("用户名或密码错误!",false,0,null);
    34. }
    35. }
    36. @RequestMapping("/userRegister")
    37. @ResponseBody
    38. public JsonResponseBody<?> userRegistered(UserVo userVo, HttpServletRequest request){
    39. int insertSelective = userService.insertSelective(userVo);
    40. if(insertSelective>0){
    41. return new JsonResponseBody<>("用户注册成功!",true,0,null);
    42. }else{
    43. return new JsonResponseBody<>("注册失败,请稍后!",false,0,null);
    44. }
    45. }
    46. @RequestMapping("/queryUserPager")
    47. @ResponseBody
    48. public JsonResponseBody<List<Map<String,Object>>>
    49. queryUserPager(UserVo userVo, HttpServletRequest request){
    50. try {
    51. PageBean pageBean=new PageBean();
    52. pageBean.setRequest(request);
    53. List<Map<String, Object>> users = userService.queryUserPager(userVo, pageBean);
    54. return new JsonResponseBody<>("OK",true,pageBean.getTotal(),users);
    55. } catch (Exception e) {
    56. e.printStackTrace();
    57. return new JsonResponseBody<>("分页查询用户信息失败!",false,0,null);
    58. }
    59. }
    60. }

    2. 关闭JwtFilter中的OFF开关,开启jwt验证

    1. package com.zking.ssm.jwt;
    2. import java.io.IOException;
    3. import java.util.regex.Matcher;
    4. import java.util.regex.Pattern;
    5. import javax.servlet.Filter;
    6. import javax.servlet.FilterChain;
    7. import javax.servlet.FilterConfig;
    8. import javax.servlet.ServletException;
    9. import javax.servlet.ServletRequest;
    10. import javax.servlet.ServletResponse;
    11. import javax.servlet.http.HttpServletRequest;
    12. import javax.servlet.http.HttpServletResponse;
    13. import io.jsonwebtoken.Claims;
    14. /**
    15. * * JWT验证过滤器,配置顺序 :CorsFilter-->JwtFilter-->struts2中央控制器
    16. *
    17. * @author Administrator
    18. *
    19. */
    20. public class JwtFilter implements Filter {
    21. // 排除的URL,一般为登陆的URL(请改成自己登陆的URL)
    22. private static String EXCLUDE = "^/user/userLogin?.*$";
    23. private static Pattern PATTERN = Pattern.compile(EXCLUDE);
    24. private boolean OFF = false;// true关闭jwt令牌验证功能
    25. @Override
    26. public void init(FilterConfig filterConfig) throws ServletException {
    27. }
    28. @Override
    29. public void destroy() {
    30. }
    31. @Override
    32. public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
    33. throws IOException, ServletException {
    34. HttpServletRequest req = (HttpServletRequest) request;
    35. HttpServletResponse resp = (HttpServletResponse) response;
    36. //获取当前请求路径。只有登录的请求路径不进行校验之外,其他的URL请求路径必须进行JWT令牌校验
    37. //http://localhost:8080/ssh2/bookAction_queryBookPager.action
    38. //req.getServletPath()==/bookAction_queryBookPager.action
    39. String path = req.getServletPath();
    40. if (OFF || isExcludeUrl(path)) {// 登陆直接放行
    41. chain.doFilter(request, response);
    42. return;
    43. }
    44. // 从客户端请求头中获得令牌并验证
    45. //token=头.载荷.签名
    46. String jwt = req.getHeader(JwtUtils.JWT_HEADER_KEY);
    47. Claims claims = this.validateJwtToken(jwt);
    48. //在这里请各位大哥大姐从JWT令牌中提取payload中的声明部分
    49. //从声明部分中获取私有声明
    50. //获取私有声明中的User对象 -> Modules
    51. Boolean flag=false;
    52. if (null == claims) {
    53. // resp.setCharacterEncoding("UTF-8");
    54. resp.sendError(403, "JWT令牌已过期或已失效");
    55. return;
    56. } else {
    57. //1.获取已经解析后的payload(私有声明)
    58. //2.从私有声明中当前用户所对应的权限集合List<String>或者List<Module>
    59. //3.循环权限(Module[id,url])
    60. // OK,放行请求 chain.doFilter(request, response);
    61. // NO,发送错误信息的JSON
    62. // ObjectMapper mapper=new ObjectMapper()
    63. // mapper.writeValue(response.getOutputStream(),json)
    64. String newJwt = JwtUtils.copyJwt(jwt, JwtUtils.JWT_WEB_TTL);
    65. resp.setHeader(JwtUtils.JWT_HEADER_KEY, newJwt);
    66. chain.doFilter(request, response);
    67. }
    68. }
    69. /**
    70. * 验证jwt令牌,验证通过返回声明(包括公有和私有),返回null则表示验证失败
    71. */
    72. private Claims validateJwtToken(String jwt) {
    73. Claims claims = null;
    74. try {
    75. if (null != jwt) {
    76. //该解析方法会验证:1)是否过期 2)签名是否成功
    77. claims = JwtUtils.parseJwt(jwt);
    78. }
    79. } catch (Exception e) {
    80. e.printStackTrace();
    81. }
    82. return claims;
    83. }
    84. /**
    85. * 是否为排除的URL
    86. *
    87. * @param path
    88. * @return
    89. */
    90. private boolean isExcludeUrl(String path) {
    91. Matcher matcher = PATTERN.matcher(path);
    92. return matcher.matches();
    93. }
    94. // public static void main(String[] args) {
    95. // String path = "/sys/userAction_doLogin.action?username=zs&password=123";
    96. // Matcher matcher = PATTERN.matcher(path);
    97. // boolean b = matcher.matches();
    98. // System.out.println(b);
    99. // }
    100. }

    3. web.xml中要配置corsfilter,允许jwt使用请求头及响应头

    1. <web-app xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
    2. xmlns="http://java.sun.com/xml/ns/javaee"
    3. xsi:schemaLocation="http://java.sun.com/xml/ns/javaee http://java.sun.com/xml/ns/javaee/web-app_3_0.xsd"
    4. id="WebApp_ID" version="3.0">
    5. <display-name>Archetype Created Web Application</display-name>
    6. <!--1.实现Spring与Web集成,实现Spring上下文的初始化工作-->
    7. <!-- spring上下文配置文件 -->
    8. <context-param>
    9. <param-name>contextConfigLocation</param-name>
    10. <param-value>classpath:spring.xml</param-value>
    11. </context-param>
    12. <!-- 读取Spring上下文的监听器 -->
    13. <listener>
    14. <listener-class>org.springframework.web.context.ContextLoaderListener</listener-class>
    15. </listener>
    16. <!--2.配置中文乱码过滤器,使用Spring自带的过滤器-->
    17. <filter>
    18. <filter-name>encodingFilter</filter-name>
    19. <filter-class>org.springframework.web.filter.CharacterEncodingFilter</filter-class>
    20. <async-supported>true</async-supported>
    21. <init-param>
    22. <param-name>encoding</param-name>
    23. <param-value>UTF-8</param-value>
    24. </init-param>
    25. </filter>
    26. <filter-mapping>
    27. <filter-name>encodingFilter</filter-name>
    28. <url-pattern>/*</url-pattern>
    29. </filter-mapping>
    30. <!--CrosFilter跨域过滤器-->
    31. <filter>
    32. <filter-name>corsFilter</filter-name>
    33. <filter-class>com.zking.ssm.util.CorsFilter</filter-class>
    34. </filter>
    35. <filter-mapping>
    36. <filter-name>corsFilter</filter-name>
    37. <url-pattern>/*</url-pattern>
    38. </filter-mapping>
    39. <!--JwtFilter-->
    40. <filter>
    41. <filter-name>jwtFilter</filter-name>
    42. <filter-class>com.zking.ssm.jwt.JwtFilter</filter-class>
    43. </filter>
    44. <filter-mapping>
    45. <filter-name>jwtFilter</filter-name>
    46. <url-pattern>/*</url-pattern>
    47. </filter-mapping>
    48. <!--Spring MVC核心控制器-->
    49. <servlet>
    50. <servlet-name>SpringMVC</servlet-name>
    51. <servlet-class>org.springframework.web.servlet.DispatcherServlet</servlet-class>
    52. <!--此参数可以不配置,默认值为:/WEB-INF/springmvc-servlet.xml-->
    53. <init-param>
    54. <param-name>contextConfigLocation</param-name>
    55. <param-value>/WEB-INF/spring-mvc.xml</param-value>
    56. </init-param>
    57. <load-on-startup>1</load-on-startup>
    58. <!--web.xml 3.0的新特性,是否支持异步-->
    59. <async-supported>true</async-supported>
    60. </servlet>
    61. <servlet-mapping>
    62. <servlet-name>SpringMVC</servlet-name>
    63. <url-pattern>/</url-pattern>
    64. </servlet-mapping>
    65. </web-app>

    前端代码:

    state.js

    1. export default{
    2. wxName:'派大星',
    3. jwt:''
    4. }

    mutations.js

    1. export default{
    2. // state指的是state.js文件中导出的对象
    3. // payload就是vue文件传递过来的参数
    4. setWxName:(state,payload)=>{
    5. state.wxName = payload.wxName
    6. },
    7. setJwt:(state,payload)=>{
    8. state.jwt = payload.jwt
    9. }
    10. }

    getters.js

    1. export default{
    2. getWxName:(state)=>{
    3. return state.wxName;
    4. },
    5. getJwt:(state)=>{
    6. return state.jwt;
    7. }
    8. }

    http.js

    1. /**
    2. * vue项目对axios的全局配置
    3. */
    4. import axios from 'axios'
    5. import qs from 'qs'
    6. //引入action模块,并添加至axios的类属性urls上
    7. import action from '@/api/action'
    8. axios.urls = action
    9. // axios默认配置
    10. axios.defaults.timeout = 10000; // 超时时间
    11. // axios.defaults.baseURL = 'http://localhost:8080/j2ee15'; // 默认地址
    12. axios.defaults.baseURL = action.SERVER;
    13. //整理数据
    14. // 只适用于 POST,PUT,PATCH,transformRequest` 允许在向服务器发送前,修改请求数据
    15. axios.defaults.transformRequest = function(data) {
    16. data = qs.stringify(data);
    17. return data;
    18. };
    19. // 请求拦截器
    20. axios.interceptors.request.use(function(config) {
    21. let jwt = window.vm.$store.getters.getJwt;
    22. if(jwt){
    23. config.headers['jwt']=jwt;
    24. }
    25. return config;
    26. }, function(error) {
    27. return Promise.reject(error);
    28. });
    29. // 响应拦截器
    30. axios.interceptors.response.use(function(response) {
    31. let jwt = response.headers['jwt'];
    32. if(jwt){
    33. // 要将响应头中的jwt串放入到state.js中
    34. window.vm.$store.commit('setJwt',{
    35. jwt:jwt
    36. });
    37. }
    38. return response;
    39. }, function(error) {
    40. return Promise.reject(error);
    41. });
    42. export default axios;

    main.js

    1. // The Vue build version to load with the `import` command
    2. // (runtime-only or standalone) has been set in webpack.base.conf with an alias.
    3. import Vue from 'vue'
    4. //开发环境下才会引入mockjs
    5. // process.env.MOCK && require('@/mock')
    6. // 新添加1
    7. import ElementUI from 'element-ui'
    8. // 新添加2,避免后期打包样式不同,要放在import App from './App';之前
    9. import 'element-ui/lib/theme-chalk/index.css'
    10. import App from './App'
    11. import router from './router'
    12. import store from './store'
    13. // 新添加3
    14. Vue.use(ElementUI)
    15. Vue.config.productionTip = false
    16. import axios from '@/api/http'
    17. import VueAxios from 'vue-axios'
    18. Vue.use(VueAxios,axios)
    19. /* eslint-disable no-new */
    20. window.vm = new Vue({
    21. el: '#app',
    22. router,
    23. store,
    24. data(){
    25. return {
    26. Bus:new Vue()
    27. }
    28. },
    29. components: { App },
    30. template: ''
    31. })
  • 相关阅读:
    CNN经典架构
    骚操作!居然能修改已运行的 Docker 容器端口映射?
    二、Flink SQL 调优汇总
    XmlDocument.SelectNodes 不起作用
    第6篇 vue的打包工具webpack
    HCIP练习02(OSPF)
    Excel中多条件判断公式怎么写?
    ZooKeeper-实战
    Android frameworks学习
    软考网络工程师知识点总结(五)
  • 原文地址:https://blog.csdn.net/lijie1025/article/details/133793620