崩了啊，一個(gè)JWT把我干懵了

作者：磊哥 2024-11-11 14:57:56

JWT 相比與傳統(tǒng)的 Session 會(huì)話機(jī)制，具備無狀態(tài)性（無需服務(wù)器端存儲(chǔ)會(huì)話信息），并且它更加靈活、更適合微服務(wù)環(huán)境下的登錄和授權(quán)判斷。JWT 是由三部分組成的：Header（頭部）、Payload（數(shù)據(jù)載荷）和 Signature（簽名）。

目前權(quán)限系統(tǒng)開發(fā)中，使用 JWT 技術(shù)的項(xiàng)目還是挺多的，因此在面試中被問到的頻率也比較高，所以今天我們就來看一下：什么是 JWT？為什么要用 JWT？

什么是 JWT？

JWT（JSON Web Token）是一種開放標(biāo)準(zhǔn)（RFC 7519），用于在網(wǎng)絡(luò)上安全傳輸信息的簡(jiǎn)潔、自包含的方式。它通常被用于身份驗(yàn)證和授權(quán)機(jī)制。JWT 由三部分組成：頭部（Header）、載荷（Payload）和簽名（Signature）。

頭部（Header）：包含了關(guān)于生成該 JWT 的信息以及所使用的算法類型。
載荷（Payload）：包含了要傳遞的數(shù)據(jù)，例如身份信息和其他附屬數(shù)據(jù)。JWT 官方規(guī)定了 7 個(gè)字段，可供使用：

iss (Issuer)：簽發(fā)者。
sub (Subject)：主題。
aud (Audience)：接收者。
exp (Expiration time)：過期時(shí)間。
nbf (Not Before)：生效時(shí)間。
iat (Issued At)：簽發(fā)時(shí)間。
jti (JWT ID)：編號(hào)。

簽名（Signature）：使用密鑰對(duì)頭部和載荷進(jìn)行簽名，以驗(yàn)證其完整性。

“
JWT 官網(wǎng)：https://jwt.io/
”

為什么要用 JWT？

JWT 相較于傳統(tǒng)的基于會(huì)話（Session）的認(rèn)證機(jī)制，具有以下優(yōu)勢(shì)：

無需服務(wù)器存儲(chǔ)狀態(tài)：傳統(tǒng)的基于會(huì)話的認(rèn)證機(jī)制需要服務(wù)器在會(huì)話中存儲(chǔ)用戶的狀態(tài)信息，包括用戶的登錄狀態(tài)、權(quán)限等。而使用 JWT，服務(wù)器無需存儲(chǔ)任何會(huì)話狀態(tài)信息，所有的認(rèn)證和授權(quán)信息都包含在 JWT 中，使得系統(tǒng)可以更容易地進(jìn)行水平擴(kuò)展。
跨域支持：由于 JWT 包含了完整的認(rèn)證和授權(quán)信息，因此可以輕松地在多個(gè)域之間進(jìn)行傳遞和使用，實(shí)現(xiàn)跨域授權(quán)。
適應(yīng)微服務(wù)架構(gòu)：在微服務(wù)架構(gòu)中，很多服務(wù)是獨(dú)立部署并且可以橫向擴(kuò)展的，這就需要保證認(rèn)證和授權(quán)的無狀態(tài)性。使用 JWT 可以滿足這種需求，每次請(qǐng)求攜帶 JWT 即可實(shí)現(xiàn)認(rèn)證和授權(quán)。
自包含：JWT 包含了認(rèn)證和授權(quán)信息，以及其他自定義的聲明，這些信息都被編碼在 JWT 中，在服務(wù)端解碼后使用。JWT 的自包含性減少了對(duì)服務(wù)端資源的依賴，并提供了統(tǒng)一的安全機(jī)制。
擴(kuò)展性：JWT 可以被擴(kuò)展和定制，可以按照需求添加自定義的聲明和數(shù)據(jù)，靈活性更高。

總結(jié)來說，使用 JWT 相較于傳統(tǒng)的基于會(huì)話的認(rèn)證機(jī)制，可以減少服務(wù)器存儲(chǔ)開銷和管理復(fù)雜性，實(shí)現(xiàn)跨域支持和水平擴(kuò)展，并且更適應(yīng)無狀態(tài)和微服務(wù)架構(gòu)。

JWT 基本使用

在 Java 開發(fā)中，可以借助 JWT 工具類來方便的操作 JWT，例如 HuTool 框架中的 JWTUtil。

HuTool 介紹：https://doc.hutool.cn/pages/JWTUtil/

使用 HuTool 操作 JWT 的步驟如下：

添加 HuTool 框架依賴
生成 Token
驗(yàn)證和解析 Token

添加 HuTool 框架依賴

在 pom.xml 中添加以下信息：

<dependency>
    <groupId>cn.hutool</groupId>
    <artifactId>hutool-all</artifactId>
    <version>5.8.16</version>
</dependency>

生成 Token

Map<String, Object> map = new HashMap<String, Object>() {
private static final long serialVersionUID = 1L;
{
    put("uid", Integer.parseInt("123")); // 用戶ID
    put("expire_time", System.currentTimeMillis() + 1000 * 60 * 60 * 24 * 15); // 過期時(shí)間15天
}
};
JWTUtil.createToken(map, "服務(wù)器端秘鑰".getBytes());

驗(yàn)證和解析 Token

驗(yàn)證 Token 的示例代碼如下：

String token = "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1c2VyX25hbWUiOiJhZG1pbiIsInNjb3BlIjpbImFsbCJdLCJleHAiOjE2MjQwMDQ4MjIsInVzZXJJZCI6MSwiYXV0aG9yaXRpZXMiOlsiUk9MRV_op5LoibLkuozlj7ciLCJzeXNfbWVudV8xIiwiUk9MRV_op5LoibLkuIDlj7ciLCJzeXNfbWVudV8yIl0sImp0aSI6ImQ0YzVlYjgwLTA5ZTctNGU0ZC1hZTg3LTVkNGI5M2FhNmFiNiIsImNsaWVudF9pZCI6ImhhbmR5LXNob3AifQ.aixF1eKlAKS_k3ynFnStE7-IRGiD5YaqznvK2xEjBew";
JWTUtil.verify(token, "123456".getBytes());

解析 Token 的示例代碼如下：

String rightToken = "eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwiYWRtaW4iOnRydWUsIm5hbWUiOiJsb29seSJ9.U2aQkC2THYV9L0fTN-yBBI7gmo5xhmvMhATtu8v0zEA";
final JWT jwt = JWTUtil.parseToken(rightToken);
jwt.getHeader(JWTHeader.TYPE);
jwt.getPayload("sub");

代碼實(shí)戰(zhàn)

在登錄成功之后，生成 Token 的示例代碼如下：

// 登錄成功，使用 JWT 生成 Token
Map<String, Object> payload = new HashMap<String, Object>() {
    private static final long serialVersionUID = 1L;
    {
        put("uid", userinfo.getUid());
        put("manager", userinfo.getManager());
        // JWT 過期時(shí)間為 15 天
        put("exp", System.currentTimeMillis() + 1000 * 60 * 60 * 24 * 15);
    }
};
String token = JWTUtil.createToken(payload, AppVariable.JWT_KEY.getBytes());

例如在 Spring Cloud Gateway 網(wǎng)關(guān)中驗(yàn)證 Token 的實(shí)現(xiàn)代碼如下：

import cn.hutool.jwt.JWT;
import cn.hutool.jwt.JWTUtil;
import com.example.common.AppVariable;
import org.springframework.cloud.gateway.filter.GatewayFilterChain;
import org.springframework.cloud.gateway.filter.GlobalFilter;
import org.springframework.core.Ordered;
import org.springframework.http.HttpStatus;
import org.springframework.http.server.reactive.ServerHttpResponse;
import org.springframework.stereotype.Component;
import org.springframework.web.server.ServerWebExchange;
import reactor.core.publisher.Mono;

import java.util.List;

/**
 * 登錄過濾器（登錄判斷）
 */
@Component
public class AuthFilter implements GlobalFilter, Ordered {
    // 排除登錄驗(yàn)證的 URL 地址
    private String[] skipAuthUrls = {"/user/add", "/user/login"};

    @Override
    public Mono<Void> filter(ServerWebExchange exchange, GatewayFilterChain chain) {
        // 當(dāng)前請(qǐng)求的 URL
        String url = exchange.getRequest().getURI().getPath();
        for (String item : skipAuthUrls) {
            if (item.equals(url)) {
                // 繼續(xù)往下走
                return chain.filter(exchange);
            }
        }
        ServerHttpResponse response = exchange.getResponse();
        // 登錄判斷
        List<String> tokens =
                exchange.getRequest().getHeaders().get(AppVariable.TOKEN_KEY);
        if (tokens == null || tokens.size() == 0) {
            // 當(dāng)前未登錄
            response.setStatusCode(HttpStatus.UNAUTHORIZED);
            return response.setComplete();
        }
        // token 有值
        String token = tokens.get(0);
        // JWT 效驗(yàn) token 是否有效
        boolean result = false;
        try {
            result = JWTUtil.verify(token, AppVariable.JWT_KEY.getBytes());
        } catch (Exception e) {
            result = false;
        }
        if (!result) {
            // 無效 token
            response.setStatusCode(HttpStatus.UNAUTHORIZED);
            return response.setComplete();
        } else { // 判斷 token 是否過期
            final JWT jwt = JWTUtil.parseToken(token);
            // 得到過期時(shí)間
            Object expObj = jwt.getPayload("exp");
            if (expObj == null) {
                response.setStatusCode(HttpStatus.UNAUTHORIZED);
                return response.setComplete();
            }
            long exp = Long.parseLong(expObj.toString());
            if (System.currentTimeMillis() > exp) {
                // token 過期
                response.setStatusCode(HttpStatus.UNAUTHORIZED);
                return response.setComplete();
            }
        }
        return chain.filter(exchange);
    }

    @Override
    public int getOrder() {
        // 值越小越早執(zhí)行
        return 1;
    }
}