jjwt令牌(Java JSON Web Token)

最新推荐文章于 2025-04-26 12:48:30 发布

咸鱼突击

最新推荐文章于 2025-04-26 12:48:30 发布

阅读量5.5k

点赞数 1

分类专栏： java

本文链接：https://blog.youkuaiyun.com/weixin_44773418/article/details/105567181

版权

java 专栏收录该内容

15 篇文章

订阅专栏

本文详细介绍了JWT的组成部分，包括头部、载荷和签证，以及如何使用JJWT库在Java中创建、解析、设置过期时间和自定义claims。通过示例代码展示了JWT的签发和验证过程。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

JWT

JSON Web Token（JWT）是一个非常轻巧的规范。这个规范允许我们使用JWT在用户和服务器之间传递安全可靠的信息。

一个JWT实际上就是一个字符串，它由三部分组成，头部、载荷与签名。

头部（Header）

头部用于描述关于该JWT的最基本的信息，例如其类型以及签名所用的算法等。这也可以被表示成一个JSON对象。

{"typ":"JWT","alg":"HS256"}

在头部指明了签名算法是HS256算法。我们进行BASE64编码http://base64.xpcha.com/，编码后的字符串如下：

eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9

载荷（playload）

载荷就是存放有效信息的地方。这个名字像是特指飞机上承载的货品，这些有效信息包含三个部分

（1）标准中注册的声明（建议但不强制使用）

iss: jwt签发者
sub: jwt所面向的用户
aud: 接收jwt的一方
exp: jwt的过期时间，这个过期时间必须要大于签发时间
nbf: 定义在什么时间之前，该jwt都是不可用的.
iat: jwt的签发时间
jti: jwt的唯一身份标识，主要用来作为一次性token。

（2）公共的声明

公共的声明可以添加任何的信息，一般添加用户的相关信息或其他业务需要的必要信息.但不建议添加敏感信息，因为该部分在客户端可解密.

（3）私有的声明

私有声明是提供者和消费者所共同定义的声明，一般不建议存放敏感信息，因为base64是对称解密的，意味着该部分信息可以归类为明文信息。

这个指的就是自定义的claim。比如前面那个结构举例中的admin和name都属于自定的claim。这些claim跟JWT标准规定的claim区别在于：JWT规定的claim，JWT的接收方在拿到JWT之后，都知道怎么对这些标准的claim进行验证(还不知道是否能够验证)；而private claims不会验证，除非明确告诉接收方要对这些claim进行验证以及规则才行。

定义一个payload:

{"sub":"1234567890","name":"John Doe","admin":true}

然后将其进行base64加密，得到Jwt的第二部分。

eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9

签证（signature）

jwt的第三部分是一个签证信息，这个签证信息由三部分组成：

header (base64后的)

payload (base64后的)

secret

这个部分需要base64加密后的header和base64加密后的payload使用.连接组成的字符串，然后通过header中声明的加密方式进行加盐secret组合加密，然后就构成了jwt的第三部分。

TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ

将这三部分用.连接成一个完整的字符串,构成了最终的jwt:

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ

注意：secret是保存在服务器端的，jwt的签发生成也是在服务器端的，secret就是用来进行jwt的签发和jwt的验证，所以，它就是你服务端的私钥，在任何场景都不应该流露出去。一旦客户端得知这个secret, 那就意味着客户端是可以自我签发jwt了。

/**
 * Jwt实际上就是一个字符串，它由三部分组成，头部、载荷与签名。
 *  头部（Header）(一般默认,不用写)
 *      {"typ":"JWT","alg":"HS256"}
 *  载荷（playload）
 *      标准中注册的声明(建议但不强制使用)
 *          iss: jwt签发者
 *          sub: jwt所面向的用户
 *          aud: 接收jwt的一方
 *          exp: jwt的过期时间，这个过期时间必须要大于签发时间
 *          nbf: 定义在什么时间之前，该jwt都是不可用的.
 *          iat: jwt的签发时间
 *          jti: jwt的唯一身份标识，主要用来作为一次性token。
 *       可以自定义一些载荷
 *   签证（signature）
 *       jwt的第三部分是一个签证信息，这个签证信息由三部分组成：
 */
  JwtBuilder jwtBuilder = Jwts.builder()
          .setId(UUID.randomUUID().toString())   //设置唯一编号(令牌id)
          .setSubject("登陆")   //设置主题(可以写场景),可以是json数据
          .setIssuedAt(new Date())    //设置签发日期
          .claim("name","自定义")	//自定义一个私有的声明
        //.setClaims(Map<String,Object> map)  //自定义多个,
          .signWith(SignatureAlgorithm.HS256, "test");  //设置签名,使用HS256算法,并设置SecretKey(字符串)
        //构建并返回一个字符串
        String compact = jwtBuilder.compact();

JJWT签发与验证token

JJWT是一个提供端到端的JWT创建和验证的Java库。永远免费和开源(Apache License，版本2.0)，JJWT很容易使用和理解。它被设计成一个以建筑为中心的流畅界面，隐藏了它的大部分复杂性。

官方文档：

https://github.com/jwtk/jjwt

创建token

（1）新建项目中的pom.xml中添加依赖：

<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt</artifactId>
    <version>0.9.0</version>
</dependency>

（2）创建测试类，代码如下

JwtBuilder builder= Jwts.builder()
		.setId("888")   //设置唯一编号
		.setSubject("小白")//设置主题  可以是JSON数据
		.setIssuedAt(new Date())//设置签发日期
		.signWith(SignatureAlgorithm.HS256,"test");//设置签名 使用HS256算法，并设置SecretKey(字符串)
//构建 并返回一个字符串 
System.out.println( builder.compact() );

运行打印结果：

eyJhbGciOiJIUzI1NiJ9.eyJqdGkiOiI4ODgiLCJzdWIiOiLlsI_nmb0iLCJpYXQiOjE1NTc5MDQxODF9.ThecMfgYjtoys3JX7dpx3hu6pUm0piZ0tXXreFU_u3Y

再次运行，会发现每次运行的结果是不一样的，因为我们的载荷中包含了时间。

解析token

我们刚才已经创建了token ，在web应用中这个操作是由服务端进行然后发给客户端，客户端在下次向服务端发送请求时需要携带这个token（这就好像是拿着一张门票一样），那服务端接到这个token 应该解析出token中的信息（例如用户id）,根据这些信息查询数据库返回相应的结果。

    String compactJwt="eyJhbGciOiJIUzI1NiJ9.eyJqdGkiOiI4ODgiLCJzdWIiOiLlsI_nmb0iLCJpYXQiOjE1NTc5MDQxODF9.ThecMfgYjtoys3JX7dpx3hu6pUm0piZ0tXXreFU_u3Y";
    Claims claims = Jwts.parser().setSigningKey("test").parseClaimsJws(compactJwt).getBody();
    System.out.println(claims);

运行打印效果：

{jti=888, sub=小白, iat=1557904181}

试着将token或签名秘钥篡改一下，会发现运行时就会报错，所以解析token也就是验证token.

设置过期时间

有很多时候，我们并不希望签发的token是永久生效的，所以我们可以为token添加一个过期时间。

（1）创建token 并设置过期时间

long now=System.currentTimeMillis();
long exp=now+1000*30;//30秒过期
JwtBuilder jwtBuilder = Jwts.builder().setId( "888" )
		.setSubject( "小白" )
		.setIssuedAt( new Date() )//签发时间
		.setExpiration( new Date( exp ) )//过期时间
		.signWith( SignatureAlgorithm.HS256, "test" );
String token = jwtBuilder.compact();
System.out.println(token);

运行，打印效果如下：

eyJhbGciOiJIUzI1NiJ9.eyJqdGkiOiI4ODgiLCJzdWIiOiLlsI_nmb0iLCJpYXQiOjE1NTc5MDUzMDgsImV4cCI6MTU1NzkwNTMwOH0.4q5AaTyBRf8SB9B3Tl-I53PrILGyicJC3fgR3gWbvUI

（2）解析TOKEN

    String compactJwt="eyJhbGciOiJIUzI1NiJ9.eyJqdGkiOiI4ODgiLCJzdWIiOiLlsI_nmb0iLCJpYXQiOjE1NTc5MDUzMDgsImV4cCI6MTU1NzkwNTMwOH0.4q5AaTyBRf8SB9B3Tl-I53PrILGyicJC3fgR3gWbvUI";
    Claims claims = Jwts.parser().setSigningKey("test").parseClaimsJws(compactJwt).getBody();
    System.out.println(claims);

打印效果：
在这里插入图片描述

当前时间超过过期时间，则会报错。

自定义claims

我们刚才的例子只是存储了id和subject两个信息，如果你想存储更多的信息（例如角色）可以定义自定义claims。

long now=System.currentTimeMillis();
long exp=now+1000*30;//30秒过期
JwtBuilder jwtBuilder = Jwts.builder().setId( "888" )
		.setSubject( "小白" )
		.setIssuedAt( new Date() )//签发时间
		.setExpiration( new Date( exp ) )//过期时间
		.claim( "roles","admin" )
		.signWith( SignatureAlgorithm.HS256, "test" );
String token = jwtBuilder.compact();
System.out.println(token);

运行打印效果：

eyJhbGciOiJIUzI1NiJ9.eyJqdGkiOiI4ODgiLCJzdWIiOiLlsI_nmb0iLCJpYXQiOjE1NTc5MDU4MDIsImV4cCI6MTU1NzkwNjgwMiwicm9sZXMiOiJhZG1pbiJ9.AS5Y2fNCwUzQQxXh_QQWMpaB75YqfuK-2P7VZiCXEJI

解析TOKEN:

String token ="eyJhbGciOiJIUzI1NiJ9.eyJqdGkiOiI4ODgiLCJzdWIiOiLlsI_nmb0iLCJpYXQiOjE1NjIyNTM3NTQsImV4cCI6MTU2MjI1Mzc4Mywicm9sZXMiOiJhZG1pbiJ9.CY6CMembCi3mAkBHS3ivzB5w9uvtZim1HkizRu2gWaI";
Claims claims = Jwts.parser().setSigningKey( "test" ).parseClaimsJws( token ).getBody();
System.out.println(claims);
System.out.println(claims.get( "roles" ));

package com.changgou.common.utils;

import io.jsonwebtoken.Claims;
import io.jsonwebtoken.JwtBuilder;
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;

import java.util.Date;

public class JjwtUtils {
    public static void main(String[] args) {
        long now = System.currentTimeMillis();
        long exp = now + 1000 * 30;
        long before = System.currentTimeMillis();
        System.out.println("生成token前的毫秒值:" + before);
        JwtBuilder jwtBuilder = Jwts.builder()
                .setId("id")
                .setSubject("主题")
                .setIssuedAt(new Date())
                .setExpiration(new Date(exp))
                .claim("自定义", "哈哈")
                .signWith(SignatureAlgorithm.HS256, "test");
        String token = jwtBuilder.compact();
        System.out.println("生成的token:" + token);
        long after = System.currentTimeMillis();
        System.out.println("生成token后的毫秒值:" + after);
        System.out.println("生成token耗时:" + (after - before));

        Claims claims = Jwts.parser().setSigningKey("test").parseClaimsJws(token).getBody();
        System.out.println("解析结果:" + claims);
        System.out.println("自定义的value:"+claims.get("自定义"));
    }
}

控制台内容:

生成token前的毫秒值:1587044033858
生成的token:eyJhbGciOiJIUzI1NiJ9.eyJqdGkiOiJpZCIsInN1YiI6IuS4u-mimCIsImlhdCI6MTU4NzA0NDAzNCwiZXhwIjoxNTg3MDQ0MDYzLCLoh6rlrprkuYkiOiLlk4jlk4gifQ.daeA3P1QASsEuRXhh9TtZ_WAveFlgm3FGMJDBBvjWg4
生成token后的毫秒值:1587044035577
生成token耗时:1719
解析结果:{jti=id, sub=主题, iat=1587044034, exp=1587044063, 自定义=哈哈}
自定义的value:哈哈

JWT工具类

生成


import io.jsonwebtoken.JwtBuilder;
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;
import javax.crypto.SecretKey;
import javax.crypto.spec.SecretKeySpec;
import java.util.Base64;
import java.util.Date;

public class JwtCreateUtil {

	//设置秘钥明文
    public static final String JWT_KEY = "test";

    /**
     * 创建token
     * @param id
     * @param subject
     * @param ttlMillis
     * @return
     */
    public static String createJWT(String id, String subject, Long ttlMillis) {

        SignatureAlgorithm signatureAlgorithm = SignatureAlgorithm.HS256;
        long nowMillis = System.currentTimeMillis();
        Date now = new Date(nowMillis);
        long expMillis = nowMillis + ttlMillis;
        Date expDate = new Date(expMillis);
        SecretKey secretKey = generalKey();
        JwtBuilder builder = Jwts.builder()
                .setId(id)              //唯一的ID
                .setSubject(subject)   // 主题  可以是JSON数据
                .setIssuer("admin")     // 签发者
                .setIssuedAt(now)      // 签发时间
                .signWith(signatureAlgorithm, secretKey) //使用HS256对称加密算法签名, 第二个参数为秘钥
                .setExpiration(expDate);// 设置过期时间
        return builder.compact();
    }

    /**
     * 生成加密后的秘钥 secretKey
     * @return
     */
    public static SecretKey generalKey() {
        byte[] encodedKey = Base64.getDecoder().decode(JwtUtil.JWT_KEY);
        SecretKey key = new SecretKeySpec(encodedKey, 0, encodedKey.length, "AES");
        return key;
    }
}

解析

import io.jsonwebtoken.Claims;
import io.jsonwebtoken.Jwts;
import javax.crypto.SecretKey;
import javax.crypto.spec.SecretKeySpec;
import java.util.Base64;

/**
 * jwt校验工具类
 */
public class JwtParseUtils {

    //设置秘钥明文
    public static final String JWT_KEY = "test";

    /**
     * 生成加密后的秘钥 secretKey
     *
     * @return
     */
    public static SecretKey generalKey() {
        byte[] encodedKey = Base64.getDecoder().decode(JwtUtils.JWT_KEY);
        SecretKey key = new SecretKeySpec(encodedKey, 0, encodedKey.length, "AES");
        return key;
    }

    /**
     * 解析
     *
     * @param jwt
     * @return
     * @throws Exception
     */
    public static Claims parseJWT(String jwt) throws Exception {
        SecretKey secretKey = generalKey();
        return Jwts.parser()
                .setSigningKey(secretKey)
                .parseClaimsJws(jwt)
                .getBody();
    }
}