JWT 实战

上一篇我们讲解了 JWT 的基本原理和结构你了解JWT吗？，接下来我们具体实战一下！

1. 引入依赖

<!--引入jwt-->

<dependency>

  <groupId>com.auth0</groupId>

  <artifactId>java-jwt</artifactId>

  <version>3.4.0</version>

</dependency>

2. 编写工具类

@Slf4j

public class JwtUtils {

    private static final String SIGN = "!Q@WXDjksWE$";

    /**

     * 生成 Token  header.payload.signature

     */

    public static String getToken(Map<String, String> map) {

        // 指定令牌的过期时间为 7 天

        Calendar instance = Calendar.getInstance();

        instance.add(Calendar.DATE, 7);

        // 创建 Jwt builder

        JWTCreator.Builder builder = JWT.create();

        // 循环添加 payload

        map.forEach((k, v) -> builder.withClaim(k, v));

        // 指定过期时间 签名 指定加密算法和密钥

        String token = builder.withExpiresAt(instance.getTime()).sign(Algorithm.HMAC256(SIGN));

        log.info("token = {}", token);

        return token;

    }

    /**

     * 1）验证 Token 合法性【签名一样，token合法，过期校验】

     * 2）如果 Token 校验过程中出现错误，直接抛异常

     *  - SignatureVerificationException:    签名不一致异常

     *  - TokenExpiredException:             令牌过期异常

     *  - AlgorithmMismatchException:	     算法不匹配异常

     *  - InvalidClaimException:	     失效的payload异常

     */

    public static void verify(String token) {

        JWT.require(Algorithm.HMAC256(SIGN)).build().verify(token);

    }

    /**

     * 获取 token 中信息【先校验 token 合法性，然后再拿 token 中信息】

     */

    public static DecodedJWT getTokenInfo(String token) {

        DecodedJWT verify = JWT.require(Algorithm.HMAC256(SIGN)).build().verify(token);

        return verify;

    }

}

3. 测试用例

@SpringBootTest

@Slf4j

public class TestJwt {

    @Test

    public void testJwt() {

        /**

         * JWT 中 header 默认就是 {"alg": "HS256", "typ": "JWT"} 一般不做改变

         */

        HashMap<String, Object> map = new HashMap<>();

        // 指定令牌的过期时间为 20s

        Calendar instance = Calendar.getInstance();

        instance.add(Calendar.SECOND, 1000);

        // 获取令牌

        String token = JWT.create()

                .withHeader(map)

                .withClaim("userId", 21)        // payload

                .withClaim("username", "zhangsan")  // payload

                .withExpiresAt(instance.getTime())           // 指定令牌的过期时间

                .sign(Algorithm.HMAC256("!Q@WXDjksWE$"));    // 签名，指定加密算法和密钥

        log.info("token = {}", token);

    }

    @Test

    public void testValid() {

        // 创建验证对象

        JWTVerifier jwtVerifier = JWT.require(Algorithm.HMAC256("!Q@WXDjksWE$")).build();

        // 校验，获取校验后的结果对象信息【需要将上一个 test 执行的 token 字符串传入，进行校验】

        DecodedJWT verify = jwtVerifier.verify("eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJleHAiOjE2MDMzMzU3NzUsInVzZXJJZCI6MjEsInVzZXJuYW1lIjoiemhhbmdzYW4ifQ.
bLzXG8-QpcwmQSEBEtkoZVBySG2XO5I462fFwTN8MLQ");

        log.info("header = {}", verify.getHeader());

        log.info("userId = {}, usernmae = {}", verify.getClaims().get("userId").asInt(), verify.getClaims().get("username").asString());

        log.info("过期时间 = {}", verify.getExpiresAt());

    }

}

4. 执行结果

5. 总结

　　1）JWT (Json Web Token) 令牌格式：【token = head.payload.signature】

　　2）校验Token顺序：a. 校验签名算法是否一样； b. 校验签名是否一样【即：head patload secret 是否一样】；c. 校验Token是否有效【前后是否一致 equals】；d. 校验Token是否过期。

巴特西