Windows漏洞學習筆記-009-Windows異常的深入

阿新 • • 發佈：2020-10-25

技術標籤：java

JWT

使用JJWT

###快速入門（後面有封裝用法）
依賴

        <dependency>
            <groupId>io.jsonwebtoken</groupId>
            <artifactId>jjwt</artifactId>
            <version>0.9.0</version>
        </dependency>

生成令牌並解析

    public static void main(String[ 
] args) {
        JwtBuilder builder= Jwts.builder()
                .setId("888")   //設定唯一編號
                .setSubject("小白")//設定主題  可以是JSON資料
                .setIssuedAt(new Date())//設定簽發日期
                .signWith(SignatureAlgorithm.HS256,"itcast");//設定簽名 使用HS256演算法，並設定SecretKey(字串) 

//構建 並返回一個字串
        System.out.println( builder.compact() );


        String jwt = builder.compact();
        Claims claims = Jwts.parser().setSigningKey("itcast").parseClaimsJws(jwt).getBody();
        System.out.println(claims);
    }

輸出結果：

eyJhbGciOiJIUzI1NiJ9.eyJqdGkiOiI4ODgiLCJzdWIiOiLlsI_nmb0iLCJpYXQiOjE1ODcwNDEzMDd9. 
vLUDlR86I--WrdvT708KN6OHFKWCj7PwZU--ZLqUYzI
{jti=888, sub=小白, iat=1587041307}

注意加密和解密必須使用同一個簽名才可以

設定JWT過期時間

//當前時間
long currentTimeMillis = System.currentTimeMillis();
Date date = new Date(currentTimeMillis+10000);
JwtBuilder builder= Jwts.builder()
    .setId("888")   //設定唯一編號
    .setSubject("小白")//設定主題  可以是JSON資料
    .setIssuedAt(new Date())//設定簽發日期
    .setExpiration(date)
    .signWith(SignatureAlgorithm.HS256,"itcast");//設定簽名 使用HS256演算法，並設定SecretKey(字串)
//構建 並返回一個字串
System.out.println( builder.compact() );

自定義claims

如果你想儲存更多的資訊（例如角色）可以定義自定義claims。

public void createJWT(){
    //當前時間
    long currentTimeMillis = System.currentTimeMillis();
    currentTimeMillis+=1000000L;
    Date date = new Date(currentTimeMillis);
    JwtBuilder builder= Jwts.builder()
        .setId("888")   //設定唯一編號
        .setSubject("小白")//設定主題  可以是JSON資料
        .setIssuedAt(new Date())//設定簽發日期
        .setExpiration(date)//設定過期時間
        .claim("roles","admin")//設定角色
        .signWith(SignatureAlgorithm.HS256,"itcast");//設定簽名 使用HS256演算法，並設定SecretKey(字串)
    //構建 並返回一個字串
    System.out.println( builder.compact() );
}

封裝後的工具類

package com.xxx.xxx2.util;
import io.jsonwebtoken.JwtBuilder;
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;
import javax.crypto.SecretKey;
import javax.crypto.spec.SecretKeySpec;
import java.util.Base64;
import java.util.Date;
/**
 * JWT工具類
 */
public class JwtUtil {

    //有效期為
    public static final Long JWT_TTL = 3600000L;// 60 * 60 *1000  一個小時
    //設定祕鑰明文
    public static final String JWT_KEY = "xxx";

    /**
     * 建立token
     * @param id
     * @param subject
     * @param ttlMillis
     * @return
     */
    public static String createJWT(String id, String subject, Long ttlMillis) {

        SignatureAlgorithm signatureAlgorithm = SignatureAlgorithm.HS256;
        long nowMillis = System.currentTimeMillis();
        Date now = new Date(nowMillis);
        if(ttlMillis==null){
            ttlMillis=JwtUtil.JWT_TTL;
        }
        long expMillis = nowMillis + ttlMillis;
        Date expDate = new Date(expMillis);
        SecretKey secretKey = generalKey();

        JwtBuilder builder = Jwts.builder()
                .setId(id)              //唯一的ID
                .setSubject(subject)   // 主題  可以是JSON資料
                .setIssuer("admin")     // 簽發者
                .setIssuedAt(now)      // 簽發時間
                .signWith(signatureAlgorithm, secretKey) //使用HS256對稱加密演算法簽名, 第二個引數為祕鑰
                .setExpiration(expDate);// 設定過期時間
        return builder.compact();
    }

    /**
     * 生成加密後的祕鑰 secretKey
     * @return
     */
    public static SecretKey generalKey() {
        byte[] encodedKey = Base64.getDecoder().decode(JwtUtil.JWT_KEY);
        SecretKey key = new SecretKeySpec(encodedKey, 0, encodedKey.length, "AES");
        return key;
    }
    
    /**
     * 解析
     *
     * @param jwt
     * @return
     * @throws Exception
     */
    public static Claims parseJWT(String jwt) throws Exception {
        SecretKey secretKey = generalKey();
        return Jwts.parser()
                .setSigningKey(secretKey)
                .parseClaimsJws(jwt)
                .getBody();
    }
}

生成token

String token = JwtUtil.createJWT(UUID.randomUUID().toString(), "token中攜帶的資料", null);

解析token

JwtUtil.parseJWT(token);

使用非對稱加密生成JWT

1.依賴

<dependency>
            <groupId>org.springframework.security</groupId>
            <artifactId>spring-security-data</artifactId>
        </dependency>

        <dependency>
            <groupId>org.springframework.cloud</groupId>
            <artifactId>spring-cloud-starter-oauth2</artifactId>
        </dependency>

        <dependency>
            <groupId>org.springframework.cloud</groupId>
            <artifactId>spring-cloud-starter-security</artifactId>
        </dependency>

2.生成私鑰

keytool -genkeypair -alias 金鑰別名 -keyalg 加密演算法的名稱(RSA) -keypass 金鑰的訪問密碼 -keystore 最終生成的檔名稱一般字尾是jks -storepass 金鑰庫的訪問密碼

keytool -genkeypair -alias changgou -keyalg RSA -keypass changgou -keystore changgou.jks -storepass changgou

3.生成公鑰

keytool -list -rfc --keystore changgou.jks | openssl x509 -inform pem -pubkey

4.生成jwt

package com.changgou.oauth;

import com.alibaba.fastjson.JSON;
import org.junit.Test;
import org.springframework.core.io.ClassPathResource;
import org.springframework.security.jwt.Jwt;
import org.springframework.security.jwt.JwtHelper;
import org.springframework.security.jwt.crypto.sign.RsaSigner;
import org.springframework.security.rsa.crypto.KeyStoreKeyFactory;

import java.security.KeyPair;
import java.security.interfaces.RSAPrivateKey;
import java.util.HashMap;
import java.util.Map;

public class CreateJWTTest {

    @Test
    public void createJWT(){
        //基於私鑰生成jwt
        //1. 建立一個祕鑰工廠
        //1: 指定私鑰的位置
        ClassPathResource classPathResource = new ClassPathResource("changgou.jks");
        //2: 指定祕鑰庫的密碼
        String keyPass = "changgou";
        KeyStoreKeyFactory keyStoreKeyFactory = new KeyStoreKeyFactory(classPathResource,keyPass.toCharArray());

        //2. 基於工廠獲取私鑰
        String alias = "changgou";
        String password = "changgou";
        KeyPair keyPair = keyStoreKeyFactory.getKeyPair(alias, password.toCharArray());
        //將當前的私鑰轉換為rsa私鑰
        RSAPrivateKey rsaPrivateKey = (RSAPrivateKey) keyPair.getPrivate();

        //3.生成jwt
        Map<String,String> map = new HashMap();
        map.put("company","heima");
        map.put("address","beijing");

        Jwt jwt = JwtHelper.encode(JSON.toJSONString(map), new RsaSigner(rsaPrivateKey));
        String jwtEncoded = jwt.getEncoded();
        System.out.println(jwtEncoded);
    }
}

5.解密jwt

package com.changgou.oauth;

import org.junit.Test;
import org.springframework.security.jwt.Jwt;
import org.springframework.security.jwt.JwtHelper;
import org.springframework.security.jwt.crypto.sign.RsaVerifier;

public class ParseJwtTest {

    @Test
    public void parseJwt(){
        //基於公鑰去解析jwt
        String jwt ="eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJhZGRyZXNzIjoiYmVpamluZyIsImNvbXBhbnkiOiJoZWltYSJ9.iijApV8zarqmkAUCvg8-te2WbXV3W4i9aN5cafw-tPjMnDIXXQXBdyQzKA2arUTQ9zaI6hOevW7XrbEFn-WHm1XJDWx-jt_HLqc0IRi1B5OSzD5ZgVoe3cqCqIVLYcfe-1f2Q5z78ZTZ5206KBTa-h1SA0799ETygmG_PA3Tv_gSn0R2NriDxj7OQS529IvQtwO4yesUcwVzjhjkFHECLuvrKfvHjtUXblSiZd_xMaqqHfcZwG2FEht5_MfqvcdbdcnV5O8VdsSKvxvX3ujSqSKvH8Ezi6YnlTZe0gbrWFyKjsZAM_FCfrqz47kmBEppyFaQq6yAqaOf2O0Di37Q_g";
		//使用自己私鑰對應的公鑰
        String publicKey ="-----BEGIN PUBLIC KEY-----MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAjwGOEtoYeGyigK3CzThHP7C3uNJKTde5/Is0c/RPMCFaZIb/iLn8R4MZ77pMsUjYF/5Ab93ksryq8IaRCO7ZUYKl1WsvkWgVoNBxbl+KjrA65LUmB+azpiQipZOvBc+iSXvbF2HuT1ArVtpGkWUE0rtAENf41xUrPew2nCOWt/6DTpH+wmuuUCbW6bH1nBxHsW4OqZ3qwfv6d4oXdOyTifaZ8mpht8Tv52gP983Kno9lZTrIBJvtr5S0ALQ9nZ8TXHpl7oVD4ZnSHqu2pMxMndKMN/ouJ8orLqpHAO0v7FXgnEgX/o0wYhsXW/UnAtOB9jeFiomwj06a/w2tYkDDswIDAQAB-----END PUBLIC KEY-----";

        Jwt token = JwtHelper.decodeAndVerify(jwt, new RsaVerifier(publicKey));

        String claims = token.getClaims();
        System.out.println(claims);
    }
}