2. 程式人生 > >【SpringBoot】整合JWT實現使用者認證

【SpringBoot】整合JWT實現使用者認證

阿新 • • 發佈：2018-11-17

初始JWT

1.什麼是JWT

JSON Web Token (JWT) 是一個開放標準 (RFC 7519)，它定義了一種緊湊且獨立的方式，可以在客戶端與伺服器之間作為JSON物件安全地傳輸資訊。

2.JWT使用場景

  • 身份驗證: 使用者在登入以後，後續的每個請求都將包含JWT，允許使用者訪問該令牌允許的路由，服務和資源等。Session同樣也可以實現這個功能，但是在使用Session的同時也會相應的增加伺服器的壓力；而JWT的開銷則相對較小，因為其將儲存的壓力分佈到各個客戶端中，從而減輕了伺服器的壓力，並且能夠在不同域的系統當中輕鬆的使用。單點登入(SSO)就廣泛使用了JWT的功能。
  • 資訊交換: JWT能夠在客戶端與伺服器之間安全地傳輸資訊，因為其可以簽名，通過簽名可以驗證傳輸資訊是否被修改。

3.JWT組成

JWT就是一個字串，經過加密處理與校驗處理的字串，由 . 分割的三個部分組成，分別是頭(Header)、有效荷載(Playload)、簽名(Signature)，因此JWT的格式通常也是這樣: header.playload.signature(header由JWT的表頭資訊經過加密後得到；playload由JWT用到的身份驗證資訊JSON資料加密得到；signature是由header和playload加密得到，這一部分作為校驗部分)。

  • Header

    通常是由兩部分組成的：一是令牌的型別，即JWT；二是雜湊演算法，比如SHA256。

例如：

{
	"alg": "HS256",
	"typ": "JWT"
}

然後這個JSON通過Base64加密形成JWT的第一個部分即header。

  • Playload
    JWT的第二個部分是有效荷載，其中包含了宣告(Claim)。JWT提供了一組預定義的宣告，這些宣告都是可選的，並不是強制性的。當然你也可以自定義宣告傳輸所需資訊，比如系統使用者ID。出於安全考慮，一般不會將使用者的敏感資訊存放在聲明當中。
宣告屬性 說明
iss 發行人，JWT由誰簽發
iat JWT建立時間，unix時間戳格式
exp JWT過期時間，unix時間戳格式
sub JWT所面向的使用者
aud 接收方，接收JWT的一方
nbf 當前時間在nbf之前，JWT不能被接收處理
jti JWT唯一ID

例如：

{
	"iss": "Hilox",
	"sub": "HiloxApiUser",
	"iat": "1542337107",
	"exp": "1542340707",
	"userId": "5"
}

將上述宣告(Claim)通過Base64加密後得到payload。

  • Signature
    將表頭經過Base64加密得到的header和Claim經過Base64加密得到的playload進行組合，形成一個新字串header.playload，對新形成的字串使用標頭當中指定的演算法(例如:上述Header例子中使用HS256演算法)和自定義的金鑰(例如:Hilox)進行加密得到signature。

最後，將字串組合 header.playload.signature就是生成的token了。

圖1 JWT生成流程圖

JWT應用

1.JWT如何使用

博主為移動端app搭建伺服器，所採用的方式是將token放到http請求的請求頭部當中，通常使用的是Authorization屬性欄位。
移動端app使用cookie不太方便，所以暫不做考慮。

2.應用流程

圖2 初次登入生成JWT流程圖
圖3 使用者訪問資源流程圖

JWT應用程式碼實現

下面通過程式碼來實現使用者認證的功能，博主這裡主要採用Spring Boot與JWT整合的方式實現。
關於Spring Boot專案如何搭建與使用本章不做詳細介紹。
程式碼當中針對異常自行做處理，我這裡偷點懶直接用日誌在控制檯列印。

1.新增JWT依賴

<dependency>
	<groupId>io.jsonwebtoken</groupId>
	<artifactId>jjwt</artifactId>
	<version>0.9.1</version>
</dependency>

2.新增JWT相關配置

Base64線上加密

jwt:
 # 發行者
 name: Hilox
 # 金鑰, 經過Base64加密, 可自行替換
 base64Secret: SGlsb3g=
 #jwt中過期時間設定(分)
 jwtExpires: 120

3.JWT配置實體類

/**
 * jwt 相關引數
 * Created by Hilox on 2018/11/16 0016.
 */
@Component
@ConfigurationProperties(prefix = "jwt")
public class JwtParam {

    /**
     * 發行者名
     */
    private String name;

    /**
     * base64加密金鑰
     */
    private String base64Secret;

    /**
     * jwt中過期時間設定(分)
     */
    private int jwtExpires;

    public String getName() {
        return name;
    }

    public void setName(String name) {
        this.name = name;
    }

    public String getBase64Secret() {
        return base64Secret;
    }

    public void setBase64Secret(String base64Secret) {
        this.base64Secret = base64Secret;
    }

    public int getJwtExpires() {
        return jwtExpires;
    }

    public void setJwtExpires(int jwtExpires) {
        this.jwtExpires = jwtExpires;
    }
}

4.配置JWT攔截器

/**
 * jwt 攔截器
 * Created by Hilox on 2018/11/16 0016.
 */
@Slf4j
public class JwtInterceptor implements HandlerInterceptor {

    @Autowired
    private JwtParam jwtParam;

    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        final String authHeader = request.getHeader(JwtConstant.AUTH_HEADER_KEY);

        if (HttpMethod.OPTIONS.equals(request.getMethod())) {
            response.setStatus(HttpServletResponse.SC_OK);
            return true;
        }

        // 校驗頭格式校驗
        if (!JwtUtils.validate(authHeader)) {
            // TODO 這裡自行丟擲異常
            log.info("===== 無校驗頭或校驗頭格式異常 =====");
            return false;
        }

        // token解析
        final String authToken = JwtUtils.getRawToken(authHeader);
        Claims claims = JwtUtils.parseToken(authToken, jwtParam.getBase64Secret());
        if (claims == null) {
            log.info("===== token解析異常 =====");
            return false;
        }
        // request.setAttribute("CLAIMS", claims);
        return true;
    }

    @Override
    public void postHandle(HttpServletRequest request, HttpServletResponse response, Object handler, ModelAndView modelAndView) throws Exception {

    }

    @Override
    public void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler, Exception ex) throws Exception {

    }
}

5.配置MVC攔截器

/**
 * mvc 配置
 * Created by Hilox on 2018/11/15 0015.
 */
@Configuration
public class MyWebConfigurer extends WebMvcConfigurerAdapter {

    // 這裡這麼做是為了提前載入, 防止過濾器中@AutoWired注入為空
    @Bean
    public JwtInterceptor jwtInterceptor() {
        return new JwtInterceptor();
    }

    // 自定義過濾規則
    @Override
    public void addInterceptors(InterceptorRegistry registry) {
        registry.addInterceptor(jwtInterceptor()).addPathPatterns("/**")
                .excludePathPatterns("/login");
    }
}

6.JWT工具類

/**
 * JWT工具類
 * Created by Hilox on 2018/11/16 0016.
 */
@Slf4j
public class JwtUtils {

    private static final String AUTHORIZATION_HEADER_PREFIX = "Bearer ";

    // 構造私有
    private JwtUtils() {}

    /**
     * 獲取原始token資訊
     * @param authorizationHeader 授權頭部資訊
     * @return
     */
    public static String getRawToken(String authorizationHeader) {
        return authorizationHeader.substring(AUTHORIZATION_HEADER_PREFIX.length());
    }

    /**
     * 獲取授權頭部資訊
     * @param rawToken token資訊
     * @return
     */
    public static String getAuthorizationHeader(String rawToken) {
        return AUTHORIZATION_HEADER_PREFIX + rawToken;
    }

    /**
     * 校驗授權頭部資訊格式合法性
     * @param authorizationHeader 授權頭部資訊
     * @return
     */
    public static boolean validate(String authorizationHeader) {
        return StringUtils.hasText(authorizationHeader) && authorizationHeader.startsWith(AUTHORIZATION_HEADER_PREFIX);
    }

    /**
     * 生成token, 只在使用者登入成功以後呼叫
     * @param userId 使用者id
     * @param jwtParam JWT加密所需資訊
     * @return
     */
    public static String createToken(String userId, JwtParam jwtParam) {
        return createToken(userId, null, jwtParam);
    }

    /**
     * 生成token, 只在使用者登入成功以後呼叫
     * @param userId 使用者id
     * @param claim 宣告
     * @param jwtParam JWT加密所需資訊
     * @return
     */
    public static String createToken(String userId, Map<String, Object> claim, JwtParam jwtParam) {
        try {
            // 使用HS256加密演算法
            SignatureAlgorithm signatureAlgorithm = SignatureAlgorithm.HS256;

            long nowMillis = System.currentTimeMillis();
            Date now = new Date(nowMillis);

            // 生成簽名金鑰
            byte[] apiKeySecretBytes = DatatypeConverter.parseBase64Binary(jwtParam.getBase64Secret());
            SecretKeySpec signingKey = new SecretKeySpec(apiKeySecretBytes, signatureAlgorithm.getJcaName());

            // 新增構成JWT的引數
            JwtBuilder jwtBuilder = Jwts.builder().setHeaderParam("typ", "JWT")
                    .claim(JwtConstant.USER_ID_KEY, userId)
                    .addClaims(claim)
                    .setIssuer(jwtParam.getName())
                    .setIssuedAt(now)
                    .signWith(signatureAlgorithm, signingKey);

            // 新增token過期時間
            long TTLMillis = jwtParam.getJwtExpires() * 60 * 1000;
            if (TTLMillis >= 0) {
                long expMillis = nowMillis + TTLMillis;
                Date exp = new Date(expMillis);
                jwtBuilder.setExpiration(exp).setNotBefore(now);
            }

            return jwtBuilder.compact();
        } catch (Exception e) {
            // TODO 這裡自行丟擲異常
            log.error("簽名失敗", e);
            return null;
        }
    }

    /**
     * 解析token
     * @param authToken 授權頭部資訊
     * @param base64Secret base64加密金鑰
     * @return
     */
    public static Claims parseToken(String authToken, String base64Secret) {
        try{
            Claims claims = Jwts.parser()
                    .setSigningKey(DatatypeConverter.parseBase64Binary(base64Secret))
                    .parseClaimsJws(authToken).getBody();
            return claims;
        } catch (SignatureException se) {
            // TODO 這裡自行丟擲異常
            log.error("===== 金鑰不匹配 =====", se);
        } catch (ExpiredJwtException ejw) {
            // TODO 這裡自行丟擲異常
            log.error("===== token過期 =====", ejw);
        } catch (Exception e){
            // TODO 這裡自行丟擲異常
            log.error("===== token解析異常 =====", e);
        }
        return null;
    }
}

7.編寫登入驗證Controller

/**
 * 登入驗證Controller
 * Created by Hilox on 2018/11/16 0016.
 */
@Slf4j
@RestController
public class LoginController {

    @Autowired
    private JwtParam jwtParam;

    // 登入
    @PostMapping("/login")
    public String login() {
        // 1.使用者密碼驗證我這裡忽略, 假設使用者驗證成功, 取得使用者id為5
        Integer userId = 5;
        // 2.驗證通過生成token
        String token = JwtUtils.createToken(userId + "", jwtParam);
        if (token == null) {
            log.error("===== 使用者簽名失敗 =====");
            return null;
        }
        log.info("===== 使用者{}生成簽名{} =====", userId, token);
        return JwtUtils.getAuthorizationHeader(token);
    }

    // 測試
    @PostMapping("/hilox")
    public String hilox() {
        return "Hello World!";
    }
}

原始碼傳送門：springboot-jwt

JWT程式碼測試效果

啟動以上專案，博主這裡使用工具Postman來模擬http請求。

1.未登入情況請求測試介面/hilox

圖4 未登入情況請求測試介面效果圖

2.請求登入介面/login

圖5 請求登入介面效果圖

3.登入情況請求測試介面/hilox

這裡我們需要將請求登入介面時返回的token放入請求頭的Authorization當中。

圖6 登入情況請求測試介面效果圖

相關推薦

【SpringBoot】整合JWT實現使用者認證

初始JWT 1.什麼是JWT JSON Web Token (JWT) 是一個開放標準 (RFC 7519)，它定義了一種緊湊且獨立的方式，可以在客戶端與伺服器之間作為JSON物件安全地傳輸資訊。 2.JWT使用場景 身份驗證: 使用者在登入以後，後續的每個請求都

【譯】使用Jwt身份認證保護 Asp Net Core Web Api

分享一下我老師大神的人工智慧教程！零基礎，通俗易懂！http://blog.csdn.net/jiangjunshow 也歡迎大家轉載本篇文章。分享知識，造福人民，實現我們中華民族偉大復興！        

【SpringBoot】整合swagger

1、引入依賴 <!--swagger--> <dependency> <groupId>io.springfox</groupId> <artifactId>springfox-swagger2&l

【SpringBoot】整合JPA啟動基於JPA的單元測試方法報如下錯誤：could not initialize proxy

出現該錯誤，分析了一下原因：基於JPA的實現來說，在進行資料庫訪問的時候，針對資料庫的訪問與操作session已經關閉釋放了。 百度了一下，網上有如下解決方案： 第一種方案：在@OneToMany的引數中使用fetch=FetchType=Eager 未涉及到該註解的使

【SpringBoot】整合SSM框架

學習Spring Boot框架，想必已經感受到該框架帶來的快感，接下來教你如何快速搭建Spring、SpringMvc、Mybatis框架整合。 1.專案構建 2.sql檔案 /* MySQL Backup Source Server Versio

小D課堂【SpringBoot】整合Redis實戰

build Redis介紹 nap template try ted 基礎 高效開發 -s ========================9、SpringBoot2.x整合Redis實戰 4節課================================ 加入小D

小D課堂【SpringBoot】整合定時任務和異步任務

test 方式 表達式 lose sum 適用於 public string 封裝 ========================10、SpringBoot整合定時任務和異步任務處理 3節課================================ 1、Sp

【SpringBoot】SpingBoot整合AOP

說起spring，我們知道其最核心的兩個功能就是AOP（面向切面）和IOC（控制反轉），這邊文章來總結一下SpringBoot如何整合使用AOP。 一、示例應用場景：對所有的web請求做切面來記錄日誌。 1、pom中引入SpringBoot的web模組和使用

【laravel】基於jwt實現用戶認證

composer 基礎 ons 生成 控制器 rest temp 詳解 div 安裝及基礎配置 使用 composer 安裝 # 建議使用1.0以上版本 composer require tymon/jwt-auth 1.*@rc 進行一些配置 有些文檔會

【SpringBoot】——SpringBoot 整合mybatis-plus 單資料來源 & 多資料來源，附原始碼

相信大家已經看了不少的教程了，所以在此我不在贅述。。。。。。 遇到的坑，在專案中readme.md 中有描述。具體下載下來配置比較詳細，初始化sql ，單元測試。。。檢視流程即可。 demo非常簡單，下載下來參考 readme.md 修改必要內容即可完成配

【springBoot】springBoot整合redis的key,value序列化的相關問題

使用的是maven工程 springBoot整合redis預設使用的是註解，在官方文件中只需要2步; 1、在pom檔案中引入即可 <dependency> <groupId>org.springframework.boot<

小D課堂【SpringBoot】數據庫操作之整合Mybaties和事務講解

nod 單點 bsp long app 實操 www tin 手機 ========================8、數據庫操作之整合Mybaties和事務講解 5節課================================ 加入小D課堂技術交流答疑群：Q群：6

【Springboot】Springboot整合Jasypt，讓配置資訊保安最優雅方便的方式

1 簡介 在上一篇文章中，介紹了Jasypt及其用法，具體細節可以檢視【Java庫】如何使用優秀的加密庫Jasypt來保護你的敏感資訊？。如此利器，用之得當，那將事半功倍。本文將介紹Springboot整合Jasypt，實現配置資訊的安全，如資料庫連線、賬號和密碼、介面憑證資訊等。 Jasypt可以為Spri

【Springboot】例項講解Springboot整合OpenTracing分散式鏈路追蹤系統（Jaeger和Zipkin）

# 1 分散式追蹤系統 隨著大量公司把單體應用重構為微服務，對於運維人員的責任就更加重大了。架構更復雜、應用更多，要從中快速診斷出問題、找到效能瓶頸，並不是一件容易的事。因此，也隨著誕生了一系列面向`DevOps`的診斷與分析系統，主要是以下三個系統： - 集中式日誌系統（Logging） - 集中式度量

【springboot】之starter pom

soc jet rep uri shel mvc must batch god SpringBoot針對不同業務提供了不同的starter pom，根據springboot版本不同可能有差異。 spring-boot-starter springboot核心start

【SpringBoot】攔截器使用@Autowired註入接口為null解決方法

res 自定義 row 攔截 request spa mvcc gist private 最近使用SpringBoot的自定義攔截器，在攔截器中註入了一個DAO，準備下面作相應操作，攔截器代碼： public class TokenInterceptor implemen

【SpringBoot】集成 Web Flux

ssi ren 接口 you ini TP AS AD util 前言: 必需學會SpringBoot基礎知識 簡介: Takes an opinionated view of building production-ready Spring applications

【SpringBoot】在IOC之外的類中使用IOC內部的Bean

oid con sin dao 自己 final cep nco name 某些時候，某些類是不歸IOC管的，如我們的一些Util，如何使用IOC中的Bean？ 1、寫一個SpringUtil類，該類用於操縱Spring的ApplicationContext @Comp

【springboot】如何在自己的springboot專案中引用別的springboot專案jar

正好今天碰到了,就在這裡總結下,習慣了將公用的專案打包成jar,然後當做工具類引入到自己專案中,直接呼叫,感覺甚是方便... 但有沒有發現,平時我們引用的大部分情況下是一個maven專案,然後打包好的jar也是maven專案的結構,所以我們可以正常的引用和使用,但現在已經是springboot的

【springboot】spring boot修改程式碼後無需重啟設定，在開發時實現熱部署

熱部署是什麼 大家都知道在專案開發過程中，常常會改動頁面資料或者修改資料結構，為了顯示改動效果，往往需要重啟應用檢視改變效果，其實就是重新編譯生成了新的Class檔案，這個檔案裡記錄著和程式碼等對應的各種資訊，然後Class檔案將被虛擬機器的ClassLoader載入。 而熱部署正是利用了這