JWT（JSON Web Tokens）入门与Java实践

最新推荐文章于 2025-04-21 20:04:03 发布

hoypte

最新推荐文章于 2025-04-21 20:04:03 发布

阅读量1.5k

点赞数 10

文章标签： json 前端 java

版权

本文详细介绍了JWT在现代Web应用中的角色，包括其组成（Header、Payload和Signature）、工作流程，以及在Java中的使用示例。强调了安全性措施，如使用HTTPS、合理设置过期时间和密钥管理。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

一、JWT简介

在现代Web应用中，身份验证和授权是确保系统安全性的关键环节。JSON Web Tokens（JWT）是一种开放标准（RFC 7519），它定义了一种紧凑且自包含的方式，用于在网络之间安全地传输信息。JWT可以被用作身份验证和授权的一种手段，允许双方之间安全地交换信息。

二、JWT的组成

JWT由三部分组成：Header（头部）、Payload（负载）和Signature（签名），这三部分通过点（.）分隔。

Header（头部）：通常包含两部分信息：令牌的类型（即JWT）和使用的签名算法，例如HMAC SHA256或RSA。这些信息以JSON形式表示，并被Base64Url编码。

示例：

{
   
  "alg": "HS256",
  "typ": "JWT"
}

Payload（负载）：包含了一些声明（Claims），这些声明是关于实体（通常是用户）和附加的元数据。标准中定义了三种类型的声明：Registered、Public和Private claims。Registered claims是一组预定义好的声明，如iss（签发者）、exp（过期时间）等。负载信息也是JSON格式，同样被Base64Url编码。

示例：

{
   
  "sub": "user123",
  "admin": true,
  "exp": 1516239022
}

Signature（签名）：签名部分用于验证消息的完整性和真实性。它是通过将Header和Payload部分使用Header中指定的算法加上一个密钥进行签名得到的。签名可以防止JWT在传输过程中被篡改。

三、JWT的工作流程

用户使用用户名和密码向服务器发送登录请求。
服务器验证用户信息，如果验证通过，则根据用户信息生成一个JWT，并将其返回给客户端。
客户端收到JWT后，可以将其存储在localStorage、cookie或其他客户端存储中，以便后续请求使用。
在之后的每次请求中，客户端需要将JWT放在HTTP请求头中的Authorization字段里发送给服务器。通常，这是通过在Authorization字段中添加“Bearer ”前缀来实现的，如“Authorization: Bearer ”。
服务器接收到请求后，会验证JWT的有效性和完整性。如果验证通过，则服务器会处理该请求；否则，服务器会返回错误响应。

四、Java中使用JWT

在Java中，有多个库可以帮助我们处理JWT，比如jjwt。下面是一个简单的例子，展示如何使用Java生成和验证JWT。