这是JWT 简单使用

LSZXZNJ

已于 2024-12-27 10:32:33 修改

阅读量952

点赞数

分类专栏：笔记拿来即用新概念文章标签： java

于 2023-05-24 18:02:59 首次发布

本文链接：https://blog.youkuaiyun.com/htydowd/article/details/130850687

版权

笔记同时被 3 个专栏收录

106 篇文章

订阅专栏

拿来即用

15 篇文章

订阅专栏

新概念

9 篇文章

订阅专栏

JWT是一种紧凑的、URL安全的方式来传输信息，这些信息是由两方进行交换的声明。JWT由三部分组成：头部、Body和签名。生成JWT涉及选择加密算法、创建秘钥、构建Body并设置有效期。解析JWT时，需要使用相同的秘钥。如果JWT失效或秘钥不匹配，解析会失败。JWT常用于权限验证。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

JWT 是 Json Web Token的缩写

JSON Web Tokens - jwt.ioJSON Web Token (JWT) is a compact URL-safe means of representing claims to be transferred between two parties. The claims in a JWT are encoded as a JSON object that is digitally signed using JSON Web Signature (JWS).https://jwt.io/

JWT 的结构格式如下：

xxxxx.yyyyy.zzzzz

由三部分组成，每部分用点分割

第一部分：

头部，记录使用的加密算法的类型

第二部分：

Body，记录一些额外信息

第三部分：

签名，用来校验数据是否被篡改

OK，Java工具包如下，使用 jjwt

        <dependency>
            <groupId>io.jsonwebtoken</groupId>
            <artifactId>jjwt</artifactId>
            <version>0.9.0</version>
        </dependency>

OK，生成一个 JWT 步骤：

确定使用的加密算法，jjwt 工具包已经给我们提供好了各种加密算法的枚举

io.jsonwebtoken.SignatureAlgorithm

确定使用的秘钥

SecretKey secretKey = new SecretKeySpec("秘钥字符串".getBytes(), "AES");

构建Body部分，该部分是一个 Map

另外，可以构建 JWT 的创建时间和失效时间

String jwtToken = Jwts.builder()
                .setClaims()
                .setIssuedAt()
                .signWith()
                .setExpiration()
                .compact();

OK，解析 JWT

使用和生成 JWT 相同的秘钥，因为 token中已经有算法信息了，所以不用再设置算法。

Claims claims = Jwts.parser()
                .setSigningKey()
                .parseClaimsJws()
                .getBody();

解析获取到 Claims 对象，可以获取 body 中的数据。

完整示例代码：

        // 生成token
        // 签名算法
        SignatureAlgorithm algorithm = SignatureAlgorithm.HS256;
        // 加密秘钥
        SecretKey secretKey = new SecretKeySpec("1234567890".getBytes(), "AES");

        // body部分
        Map<String, Object> body = new HashMap<>();
        body.put("userId", "0001");

        // 创建时间 和 实效时间
        long nowMillis = System.currentTimeMillis();
        long expMillis = nowMillis + 1000 * 60 * 1;
        Date iat = new Date(nowMillis);
        Date exp = new Date(expMillis);
        //生成jwt
        String jwtToken = Jwts.builder()
                .setClaims(body)
                .setIssuedAt(iat)
                .signWith(algorithm, secretKey)
                .setExpiration(exp)
                .compact();
        System.out.println(jwtToken);

//        Thread.sleep(1000 * 61 * 1);

        // 验证
        // 获取解密秘钥
        SecretKey key = new SecretKeySpec("1234567890".getBytes(), "AES");

        // 解析token
        Claims claims = Jwts.parser()
                .setSigningKey(key)
                .parseClaimsJws(jwtToken).getBody();

        Object userId = claims.get("userId");
        System.out.println("userId:" + userId);

如果 token 失效或者加密秘钥和解密秘钥不同，都会解析失败。

在需要权限校验的资源中，就可以从请求信息中获取 jwt 来验证权限。