2. 程式人生 > 程式設計 >JWT Token實現方法及步驟詳解

JWT Token實現方法及步驟詳解

阿新 • • 發佈：2020-09-04

1. 前言

Json Web Token （JWT） 近幾年是前後端分離常用的 Token 技術，是目前最流行的跨域身份驗證解決方案。你可以通過文章 一文了解web無狀態會話token技術JWT 來了解 JWT。今天我們來手寫一個通用的 JWT 服務。DEMO 獲取方式在文末，實現在 jwt 相關包下

2. spring-security-jwt

spring-security-jwt 是 Spring Security Crypto 提供的 JWT 工具包 。

 <dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-jwt</artifactId>
    <version>${spring-security-jwt.version}</version>
 </dependency>

核心類只有一個: org.springframework.security.jwt.JwtHelper 。它提供了兩個非常有用的靜態方法。

3. JWT 編碼

JwtHelper 提供的第一個靜態方法就是 encode(CharSequence content,Signer signer) 這個是用來生成jwt的方法 需要指定 payload 跟 signer 簽名演算法。payload 存放了一些可用的不敏感資訊：

  • iss jwt簽發者
  • sub jwt所面向的使用者
  • aud 接收jwt的一方
  • iat jwt的簽發時間
  • exp jwt的過期時間，這個過期時間必須要大於簽發時間 iat
  • jti jwt的唯一身份標識，主要用來作為一次性token,從而回避重放***

除了以上提供的基本資訊外，我們可以定義一些我們需要傳遞的資訊，比如目標使用者的許可權集 等等。切記不要傳遞密碼等敏感資訊 ，因為 JWT 的前兩段都是用了 BASE64 編碼，幾乎算是明文了。

3.1 構建 JWT 中的 payload

我們先來構建 payload :

 /**
 * 構建 jwt payload
 *
 * @author Felordcn
 * @since 11:27 2019/10/25
 **/
 public class JwtPayloadBuilder {

   private Map<String,String> payload = new HashMap<>();
   /**
   * 附加的屬性
   */
   private Map<String,String> additional;
   /**
   * jwt簽發者
   **/
   private String iss;
   /**
   * jwt所面向的使用者
   **/
   private String sub;
   /**
   * 接收jwt的一方
   **/
   private String aud;
   /**
   * jwt的過期時間，這個過期時間必須要大於簽發時間
   **/
   private LocalDateTime exp;
   /**
   * jwt的簽發時間
   **/
   private LocalDateTime iat = LocalDateTime.now();
   /**
   * 許可權集
   */
   private Set<String> roles = new HashSet<>();
   /**
   * jwt的唯一身份標識，主要用來作為一次性token,從而回避重放***
   **/
   private String jti = IdUtil.simpleUUID();

   public JwtPayloadBuilder iss(String iss) {
     this.iss = iss;
     return this;
   }

   public JwtPayloadBuilder sub(String sub) {
     this.sub = sub;
     return this;
   }

   public JwtPayloadBuilder aud(String aud) {
     this.aud = aud;
     return this;
   }

   public JwtPayloadBuilder roles(Set<String> roles) {
     this.roles = roles;
     return this;
   }

   public JwtPayloadBuilder expDays(int days) {
     Assert.isTrue(days > 0,"jwt expireDate must after now");
     this.exp = this.iat.plusDays(days);
     return this;
   }

   public JwtPayloadBuilder additional(Map<String,String> additional) {
     this.additional = additional;
     return this;
   }

   public String builder() {
     payload.put("iss",this.iss);
     payload.put("sub",this.sub);
     payload.put("aud",this.aud);
     payload.put("exp",this.exp.format(DateTimeFormatter.ofPattern("yyyy-MM-dd HH:mm:ss")));
     payload.put("iat",this.iat.format(DateTimeFormatter.ofPattern("yyyy-MM-dd HH:mm:ss")));
     payload.put("jti",this.jti);

     if (!CollectionUtils.isEmpty(additional)) {
       payload.putAll(additional);
     }
     payload.put("roles",JSONUtil.toJsonStr(this.roles));
     return JSONUtil.toJsonStr(JSONUtil.parse(payload));

   }

 }

通過建造類 JwtClaimsBuilder 我們可以很方便來構建 JWT 所需要的 payload json 字串傳遞給 encode(CharSequence content,Signer signer) 中的 content 。

3.2 生成 RSA 金鑰並進行簽名

為了生成 JWT Token 我們還需要使用 RSA 演算法來進行簽名。這裡我們使用 JDK 提供的證書管理工具 Keytool 來生成 RSA 證書 ，格式為 jks 格式。

生成證書命令參考：

```shell script keytool -genkey -alias felordcn -keypass felordcn -keyalg RSA -storetype PKCS12 -keysize 1024 -validity 365 -keystore d:/keystores/felordcn.jks -storepass 123456 -dname "CN=(Felord),OU=(felordcn),O=(felordcn),L=(zz),ST=(hn),C=(cn)"

其中 `-alias felordcn -storepass 123456` 我們要作為配置使用要記下來。我們要使用下面定義的這個類來讀取證書

```java
 package cn.felord.spring.security.jwt;

 import org.springframework.core.io.ClassPathResource;

 import java.security.KeyFactory;
 import java.security.KeyPair;
 import java.security.KeyStore;
 import java.security.PublicKey;
 import java.security.interfaces.RSAPrivateCrtKey;
 import java.security.spec.RSAPublicKeySpec;

 /**
 * KeyPairFactory
 *
 * @author Felordcn
 * @since 13:41 2019/10/25
 **/
 class KeyPairFactory {

   private KeyStore store;

   private final Object lock = new Object();

   /**
   * 獲取公私鑰.
   *
   * @param keyPath jks 檔案在 resources 下的classpath
   * @param keyAlias keytool 生成的 -alias 值 felordcn
   * @param keyPass keytool 生成的 -keypass 值 felordcn
   * @return the key pair 公私鑰對
   */
  KeyPair create(String keyPath,String keyAlias,String keyPass) {
     ClassPathResource resource = new ClassPathResource(keyPath);
     char[] pem = keyPass.toCharArray();
     try {
       synchronized (lock) {
         if (store == null) {
           synchronized (lock) {
             store = KeyStore.getInstance("jks");
             store.load(resource.getInputStream(),pem);
           }
         }
       }
       RSAPrivateCrtKey key = (RSAPrivateCrtKey) store.getKey(keyAlias,pem);
       RSAPublicKeySpec spec = new RSAPublicKeySpec(key.getModulus(),key.getPublicExponent());
       PublicKey publicKey = KeyFactory.getInstance("RSA").generatePublic(spec);
       return new KeyPair(publicKey,key);
     } catch (Exception e) {
       throw new IllegalStateException("Cannot load keys from store: " + resource,e);
     }

   }
 }

獲取了 KeyPair 就能獲取公私鑰 生成 Jwt 的兩個要素就完成了。我們可以和之前定義的 JwtPayloadBuilder 一起封裝出生成 Jwt Token 的方法：

   private String jwtToken(String aud,int exp,Set<String> roles,Map<String,String> additional) {
     String payload = jwtPayloadBuilder
         .iss(jwtProperties.getIss())
         .sub(jwtProperties.getSub())
         .aud(aud)
         .additional(additional)
         .roles(roles)
         .expDays(exp)
         .builder();
     RSAPrivateKey privateKey = (RSAPrivateKey) keyPair.getPrivate();

     RsaSigner signer = new RsaSigner(privateKey);
     return JwtHelper.encode(payload,signer).getEncoded();
   }

通常情況下 Jwt Token 都是成對出現的，一個為平常請求攜帶的 accessToken， 另一個只作為重新整理 accessToken 之用的 refreshToken 。而且 refreshToken 的過期時間要相對長一些。當 accessToken 失效而refreshToken 有效時，我們可以通過 refreshToken 來獲取新的 Jwt Token對 ；當兩個都失效就使用者就必須重新登入了。

生成 Jwt Token對 的方法如下：

   public JwtTokenPair jwtTokenPair(String aud,String> additional) {
     String accessToken = jwtToken(aud,jwtProperties.getAccessExpDays(),roles,additional);
     String refreshToken = jwtToken(aud,jwtProperties.getRefreshExpDays(),additional);

     JwtTokenPair jwtTokenPair = new JwtTokenPair();
     jwtTokenPair.setAccessToken(accessToken);
     jwtTokenPair.setRefreshToken(refreshToken);
     // 放入快取
     jwtTokenStorage.put(jwtTokenPair,aud);
     return jwtTokenPair;
   }

通常 Jwt Token對 會在返回給前臺的同時放入快取中。過期策略你可以選擇分開處理，也可以選擇以refreshToken 的過期時間為準。

4. JWT 解碼以及驗證

JwtHelper 提供的第二個靜態方法是Jwt decodeAndVerify(String token,SignatureVerifier verifier) 用來 驗證和解碼 Jwt Token 。我們獲取到請求中的token後會解析出使用者的一些資訊。通過這些資訊去快取中對應的token ，然後比對並驗證是否有效（包括是否過期）。

   /**
    * 解碼 並校驗簽名 過期不予解析
    *
    * @param jwtToken the jwt token
    * @return the jwt claims
    */
   public JSONObject decodeAndVerify(String jwtToken) {
     Assert.hasText(jwtToken,"jwt token must not be bank");
     RSAPublicKey rsaPublicKey = (RSAPublicKey) this.keyPair.getPublic();
     SignatureVerifier rsaVerifier = new RsaVerifier(rsaPublicKey);
     Jwt jwt = JwtHelper.decodeAndVerify(jwtToken,rsaVerifier);
     String claims = jwt.getClaims();
     JSONObject jsonObject = JSONUtil.parseObj(claims);
     String exp = jsonObject.getStr(JWT_EXP_KEY);
     // 是否過期
     if (isExpired(exp)) {
       throw new IllegalStateException("jwt token is expired");
     }
     return jsonObject;
   }

上面我們將有效的 Jwt Token 中的 payload 解析為 JSON物件 ，方便後續的操作。

5. 配置

我們將 JWT 的可配置項抽出來放入 JwtProperties 如下：

 /**
 * Jwt 在 springboot application.yml 中的配置檔案
 *
 * @author Felordcn
 * @since 15 :06 2019/10/25
 */
 @Data
 @ConfigurationProperties(prefix=JWT_PREFIX)
 public class JwtProperties {
   static final String JWT_PREFIX= "jwt.config";
   /**
   * 是否可用
   */
   private boolean enabled;
   /**
   * jks 路徑
   */
   private String keyLocation;
   /**
   * key alias
   */
   private String keyAlias;
   /**
   * key store pass
   */
   private String keyPass;
   /**
   * jwt簽發者
   **/
   private String iss;
   /**
   * jwt所面向的使用者
   **/
   private String sub;
   /**
   * access jwt token 有效天數
   */
   private int accessExpDays;
   /**
   * refresh jwt token 有效天數
   */
   private int refreshExpDays;
 }

然後我們就可以配置 JWT 的 javaConfig 如下：

 /**
 * JwtConfiguration
 *
 * @author Felordcn
 * @since 16 :54 2019/10/25
 */
 @EnableConfigurationProperties(JwtProperties.class)
 @ConditionalOnProperty(prefix = "jwt.config",name = "enabled")
 @Configuration
 public class JwtConfiguration {

   /**
   * Jwt token storage .
   *
   * @return the jwt token storage
   */
   @Bean
   public JwtTokenStorage jwtTokenStorage() {
     return new JwtTokenCacheStorage();
   }

   /**
   * Jwt token generator.
   *
   * @param jwtTokenStorage the jwt token storage
   * @param jwtProperties  the jwt properties
   * @return the jwt token generator
   */
   @Bean
   public JwtTokenGenerator jwtTokenGenerator(JwtTokenStorage jwtTokenStorage,JwtProperties jwtProperties) {
     return new JwtTokenGenerator(jwtTokenStorage,jwtProperties);
   }

 }

然後你就可以通過 JwtTokenGenerator 編碼/解碼驗證 Jwt Token 對 ，通過 JwtTokenStorage 來處理 Jwt Token 快取。快取這裡我用了Spring Cache Ehcache 來實現,你也可以切換到 Redis 。相關單元測試參見 DEMO

6. 總結

今天我們利用 spring-security-jwt 手寫了一套 JWT 邏輯。無論對你後續結合 Spring Security 還是 Shiro 都十分有借鑑意義。

以上就是本文的全部內容，希望對大家的學習有所幫助，也希望大家多多支援我們。

相關推薦

JWT Token實現方法及步驟詳解

1. 前言 Json Web Token （JWT） 近幾年是前後端分離常用的 Token 技術，是目前最流行的跨域身份驗證解決方案。你可以通過文章 一文了解web無狀態會話token技術JWT 來了解 JWT。今天我們來手寫一個通用的 JWT 服務。

Python opencv相機標定實現原理及步驟詳解

相機標定相機標定的目的 獲取攝像機的內參和外參矩陣（同時也會得到每一幅標定影象的選擇和平移矩陣），內參和外參係數可以對之後相機拍攝的影象就進行矯正，得到畸變相對很小的影象。

Vue作用域插槽實現方法及作用詳解

預設插槽和具名插槽的概念比較好理解，這裡主要以官方文件的案例來講解一下作用域插槽。

JS繼承實現方法及優缺點詳解

前言 JS作為面向物件的弱型別語言，繼承也是其非常強大的特性之一。那麼如何在JS中實現繼承呢？讓我們拭目以待。

PHP autoload使用方法及步驟詳解

我們知道在PHP4裡面，當我們使用一個類的時候，必須將該類所以檔案使用include或require加進來，這樣我們就可以使用類了。

Java實現執行緒同步方法及原理詳解

一、概述 無論是什麼語言，在多執行緒程式設計中，常常會遇到多個線同時操作程某個變數(讀/寫)，如果讀/寫不同步，則會造成不符合預期的結果。

python super的使用方法及例項詳解

功能 super功能:super函式是子類用於呼叫父類(超類)的一個方法。 用法 1.在子類 __init__() 方法中正確的初始化父類,保證相同的基類只初始化一次。

HTTP長連線與短連線使用方法及測試詳解

HTTP短連線（非持久連線）是指，客戶端和服務端進行一次HTTP請求/響應之後，就關閉連線。所以，下一次的HTTP請求/響應操作就需要重新建立連線。

java資料庫開發之JDBC基礎使用方法及例項詳解

1.什麼是JDBC JDBC是一種用於執行SQL語句的Java API，可以為多種關係資料庫提供統一訪問，它由一組用Java語言編寫的類和介面組成。JDBC提供了一種基準，據此可以構建更高階的工具和介面，使資料庫開發人員能夠編寫資

Java類庫BeanUtils元件使用方法及例項詳解

BeanUtils BeanUtils是Apache commens元件裡面的成員，由Apache提供的一套開源api，用於簡化對javaBean的操作，能夠對基本型別自動轉換。

Apache Shrio安全框架實現原理及例項詳解

一、Shiro整體概述 1.簡介 Apache Shiro是Java的一個安全框架,功能強大,使用簡單,Shiro為開發人員提供了一個直觀而全面的認證(登入),授權(判斷是否含有許可權),加密(密碼加密)及會話管理(Shiro內建Session)的解決方案

Python引數傳遞實現過程及原理詳解

在分析python的引數傳遞是如何進行的之前，我們需要先來了解一下，python變數和賦值的基本原理，這樣有助於我們更好的理解引數傳遞。

Springboot熱部署實現原理及例項詳解

1.前言 在實際開發過程中，每次修改程式碼就得將專案重啟，重新部署，對於一些大型應用來說，重啟時間需要花費大量的時間成本。對於一個後端開發者來說，重啟過程確實很難受啊。在 Java 開發領域，熱部署一直是一個難

Java類載入機制實現流程及原理詳解

前言 　　我們知道，Java專案編譯後會生成許許多多的class檔案，class檔案儲存著類的描述資訊。虛擬機器把描述類的資料從Class檔案載入到記憶體，並對資料進行校驗、轉化解析和初始化，最終形成可以被虛擬機器直接使

Springboot專案基於Devtools實現熱部署步驟詳解

1.在pom.xml（如果是多模組，則此pom根據需要可設為具體模組）檔案中新增 <dependency>

Spring JdbcTemplate整合使用方法及原理詳解

基本配置 JdbcTemplate基本用法實際上很簡單，開發者在建立一個SpringBoot專案時，除了選擇基本的Web依賴，再記得選上Jdbc依賴，以及資料庫驅動依賴即可，如下：

IDEA實現遠端除錯步驟詳解

IDEA不僅可以本地除錯程式碼，也可以遠端除錯程式碼。 一、基本原理 本機和遠端主機的兩個 VM 之間使用 Debug 協議通過 Socket 通訊，傳遞除錯指令和除錯資訊。

Jenkin郵件收發實現原理及過程詳解

一、配置 Jenkins 郵箱的全域性配置 檢查是否已安裝外掛Email Extension Plugin 獲取 qq 郵箱授權碼

Python尾遞迴優化實現程式碼及原理詳解

在傳統的遞迴中，典型的模式是，你執行第一個遞迴呼叫，然後接著呼叫下一個遞迴來計算結果。這種方式中途你是得不到計算結果，知道所有的遞迴呼叫都返回。 這樣雖然很大程度上簡潔了程式碼編寫，但是讓人很難它跟高效

Java Jwt庫的簡介及使用詳解

JWT介紹 JWT概念 JWT ， 全寫ON Web Token,是開放的行業標準RFC7591，用來實現端到端安全驗證.