一文详解jwt token以及sprig boot如何整合实现 jwt token操作
文章目录
- 1. jwt是什么
- 2. jwt的来源
- 2.1 传统的session认证
- 2.2 基于token的鉴权机制
- 3. JWT的构成
- 3.1 header
- 3.2 playload
- 3.3 signature
- 4. 如何应用
- 5. spring boot 集成jwt
- 6. 总结
- 6.1 优点
- 6.2 安全相关
- 7. 参看文档
1. jwt是什么
Json web token (JWT)
,是为了在网络应用环境间传递声明而执行的一种基于JSON
的开放标准(RFC 7519
)。
该token
被设计为紧凑且安全的,特别适用于分布式站点的单点登录(SSO
)场景。
JWT
的声明一般被用来在身份提供者和服务提供者间传递被认证的用户身份信息,以便于从资源服务器获取资源,也可以增加一些额外的其它业务逻辑所必须的声明信息,该token
也可直接被用于认证,也可被加密。
2. jwt的来源
说起JWT
的来源,我们应该来谈一谈基于token
的认证和传统的session
认证的区别。
2.1 传统的session认证
我们知道,http
协议本身是一种无状态的协议,而这就意味着如果用户向我们的应用提供了用户名和密码来进行用户认证。那么下一次请求时,用户还要再一次进行用户认证才行。因为根据http
协议,我们并不能知道是哪个用户发出的请求,所以为了让我们的应用能识别是哪个用户发出的请求。我们只能在服务器存储一份用户登录的信息,这份登录信息会在响应时传递给浏览器,告诉其保存为cookie
,以便下次请求时发送给我们的应用,这样我们的应用就能识别请求来自哪个用户了,这就是传统的基于session
认证。
但是这种基于session
的认证使应用本身很难得到扩展,随着不同客户端用户的增加,独立的服务器已无法承载更多的用户,而这时候基于session
认证应用的问题就会暴露出来,如下所示:
Session
: 每个用户经过我们的应用认证之后,我们的应用都要在服务端做一次记录,以方便用户下次请求的鉴别,通常而言session
都是保存在内存中,而随着认证用户的增多,服务端的开销会明显增大。扩展性: 用户认证之后,服务端做认证记录,如果认证的记录被保存在内存中的话,这意味着用户下次请求还必须要请求在这台服务器上,这样才能拿到授权的资源,这样在分布式的应用上,相应的限制了负载均衡器的能力。这也意味着限制了应用的扩展能力。
CSRF
: 因为是基于cookie
来进行用户识别的,cookie
如果被截获,用户就会很容易受到跨站请求伪造的攻击。
2.2 基于token的鉴权机制
基于token
的鉴权机制类似于http协议也是无状态的,它不需要在服务端去保留用户的认证信息或者会话信息。这就意味着基于token认证机制的应用不需要去考虑用户在哪一台服务器登录了,这就为应用的扩展提供了便利。
流程如下:
用户使用用户名密码来请求服务器
服务器进行验证用户的信息
服务器通过验证发送给用户一个
token
客户端存储
token
,并在每次请求时附送上这个token
值服务端验证
token
值,并返回数据
这个token
必须要在每次请求时传递给服务端,它应该保存在请求头里。
另外,服务端要支持CORS
(跨来源资源共享)策略,一般我们在服务端这么做就可以了Access-Control-Allow-Origin: *
。
那么我们现在回到JWT
的主题上。
3. JWT的构成
JWT
是由三段信息构成的,将这三段信息文本用.链接一起就构成了Jwt
字符串,如下所示:
Bearer eyJhbGciOiJIUzUxMiJ9.eyJzdWIiOiJ7XCJ1c2VySWRcIjoxLFwidXNlcm5hbWVcIjpcImFkbWluXCJ9IiwiZXhwIjoxNjY0MTY1MzM3fQ.yh_csNBLZHsqXEAhY90sKO49o02TXYkduCgIeV7W0zEOyY9MMY_bMYTa0OHeKvEKdNB5TAO_WgGKRF5LC5TBMA
三段信息中的第一部分为头部(header
),第二部分我们称其为载荷(payload
,类似于飞机上承载的物品),第三部分是签证(signature
)。
3.1 header
jwt
的头部承载两部分信息:
- 声明类型,这里是
jwt
- 声明加密的算法 通常直接使用
HMAC SHA256
完整的头部如下JSON:
{'typ': 'JWT','alg': 'HS256'
}
然后将头部进行base64
加密(该加密是可以对称解密的),构成了第一部分.
eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9
3.2 playload
载荷就是存放有效信息的地方。这个名字像是特指飞机上承载的货品,这些有效信息包含如下三部分:
标准中注册的声明
公共的声明
私有的声明
- 标准中注册的声明 (建议但不强制使用) :
iss
:jwt
签发者sub
:jwt
所面向的用户aud
: 接收jwt
的一方exp
:jwt
的过期时间,这个过期时间必须要大于签发时间nbf
: 定义在什么时间之前,该jwt
都是不可用的.iat
:jwt
的签发时间jti
:jwt
的唯一身份标识,主要用来作为一次性token
,从而回避重放攻击。
- 公共的声明
公共的声明可以添加任何的信息,一般添加用户的相关信息或其他业务需要的必要信息。但不建议添加敏感信息,因为该部分在客户端可解密。
- 私有的声明
私有声明是提供者和消费者所共同定义的声明,一般不建议存放敏感信息,因为base64
是对称解密的,意味着该部分信息可以归类为明文信息。
定义一个payload
:
{"sub": "1234567890","name": "John Doe","admin": true
}
然后将其进行base64加密,得到Jwt的第二部分。
eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9
3.3 signature
jwt
的第三部分是一个签证信息,这个签证信息由如下三部分组成:
header
(base64
后的)payload
(base64
后的)secret
这个部分需要base64
加密后的header
和base64
加密后的payload
使用.连接组成的字符串,然后通过header
中声明的加密方式进行加盐secret
组合加密,然后就构成了jwt的第三部分。
// javascript
var encodedString = base64UrlEncode(header) + '.' + base64UrlEncode(payload);var signature = HMACSHA256(encodedString, 'secret'); // TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ
将这三部分用.
连接成一个完整的字符串,构成了最终的jwt
:
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ
【注意】:secret
是保存在服务器端的,jwt
的签发生成也是在服务器端的,secret
就是用来进行jwt
的签发和jwt
的验证,所以,它就是你服务端的私钥,在任何场景都不应该流露出去。一旦客户端得知这个secret
, 那就意味着客户端是可以自我签发jwt
了。
4. 如何应用
一般是在请求头里加Authorization
,并加上Bearer
标注:
fetch('api/user/1', {headers: {'Authorization': 'Bearer ' + token}
})
服务端会验证token
,如果验证通过就会返回相应的资源,整个流程如下:
5. spring boot 集成jwt
- 引入
jwt
的maven jar
包
<properties><java.version>1.8</java.version><jwtApi.version>0.10.6</jwtApi.version>
</properties><!-- jwt配饰开始-->
<dependency><groupId>io.jsonwebtoken</groupId><artifactId>jjwt-api</artifactId><version>${jwtApi.version}</version>
</dependency>
<dependency><groupId>io.jsonwebtoken</groupId><artifactId>jjwt-impl</artifactId><version>${jwtApi.version}</version>
</dependency>
<dependency><groupId>io.jsonwebtoken</groupId><artifactId>jjwt-jackson</artifactId><version>${jwtApi.version}</version>
</dependency>
- 在
application.yml
配置jwt
信息
# jwt配置
jwt:tokenHeader: Authorization # JWT存储的请求头# 令牌前缀: JWT负载中拿到开头tokenStartWith: Bearersecret: ZmQ0ZGI5NjQ0MDQwY2I4MjMNTE0MzI= #JWT加解密使用的密钥的base64编码expiration: 7200000 #JWT的超期限时间-2小时候超时typ: JWTalg: HS256subject: superJson-user
- 实例化
application.yml
的jwt
配置属性
/*** @author 念兮为美* @datetime 2022/8/19 12:05* @desc jwt实体类,从yml配置文件中获取配置的属性*/
@Getter
@Setter
@Configuration
@ConfigurationProperties(prefix = "jwt")
public class JwtProperties {@Value("${jwt.secret}")private String appSecret;@Value("${jwt.expiration}")private long expiration;@Value("${jwt.typ}")private String typ;@Value("${jwt.alg}")private String alg;@Value("${jwt.subject}")private String subject;@Value("${jwt.tokenStartWith}")private String tokenStartWith;@Value("${jwt.tokenHeader}")private String tokenHeader;public String getTokenStartWith() {return tokenStartWith + " ";}
- 创建生成
jwt token
类JwtTokenProvider
/*** @author 念兮为美* @create 2020-01-12 20:50 JWT-TOKEN 提供类*/
@Slf4j
@Component
public class JwtTokenProvider implements InitializingBean {@Autowiredprivate JwtProperties properties;private Key key;/*** 实例化对前会调用此方法,需要Spring的环境** @throws Exception*/@Overridepublic void afterPropertiesSet() {byte[] decode = Decoders.BASE64.decode(properties.getAppSecret());this.key = Keys.hmacShaKeyFor(decode);}/*** 创建token** @return*/public String createToken(String username, int userId) {JSONObject jsonObject = new JSONObject();jsonObject.put(USERNAME, username);jsonObject.put(USER_ID, userId);return Jwts.builder().setSubject(JSONUtil.toJsonStr(jsonObject)).setExpiration(new Date(System.currentTimeMillis() + properties.getExpiration())).signWith(key, SignatureAlgorithm.HS512).compact();}/*** 验证token** @return*/public boolean checkToken(String token) {try {log.info("token= {}", token);Jwts.parser().setSigningKey(key).parseClaimsJwt(token);return true;} catch (io.jsonwebtoken.security.SecurityException | MalformedJwtException e) {log.info("Invalid JWT signature.");e.printStackTrace();} catch (ExpiredJwtException e) {log.info("Expired JWT token.");e.printStackTrace();} catch (UnsupportedJwtException e) {log.info("Unsupported JWT token.");e.printStackTrace();} catch (IllegalArgumentException e) {log.info("JWT token compact of handler are invalid.");e.printStackTrace();}return false;}/*** 根据token 解析出username** @param token* @return*/public JSONObject parseToken(String token) {Claims body = Jwts.parser().setSigningKey(key).parseClaimsJws(token).getBody();String userJson = body.getSubject();return JSON.parseObject(userJson);}/*** 从request中获取token** @param request* @param tokenHeader 请求头信息,比如Authorization* @return*/public String getToken(ServletRequest request, String tokenHeader) {if (isNull(request)) {throw new FrameException(SIGNATURE_NOT_MATCH);}String headerToken = null;if (request instanceof HttpServletRequest) {HttpServletRequest httpServletRequest = (HttpServletRequest) request;headerToken = httpServletRequest.getHeader(tokenHeader);} else if (request instanceof ServerHttpRequest) {ServerHttpRequest serverHttpRequest = (ServerHttpRequest) request;HttpHeaders headers = serverHttpRequest.getHeaders();headerToken = headers.getFirst(tokenHeader);}if (headerToken != null && headerToken.startsWith(properties.getTokenStartWith())) {headerToken = headerToken.substring(properties.getTokenStartWith().length());}return headerToken;}
}
- 测试生成
jwt token
// 指定需要加载的配置文件,比如application-local.yml
@ActiveProfiles("local")
// 修改启动环境
@SpringBootTest(webEnvironment = SpringBootTest.WebEnvironment.RANDOM_PORT)
class SuperJsonManagerApplicationTests {@Testvoid contextLoads() {}@Autowired private JwtTokenProvider jwtConfig;@Autowired private JwtProperties jwtProperties;/*** 测试token** @author 念兮为美* @datetime 2022/8/24:15:45* @return*/@Testpublic void tokenGener() {System.out.println(UUID.randomUUID().toString());String username = "念兮为美";int uid = 120001;String token = jwtConfig.createToken(username, uid);System.out.println("jwt token 输出信息:" + jwtProperties.getTokenStartWith() + token);}
}
输出结果如下图所示:
- 测试解析5中生成的
token
,获取username
和uid
// 指定需要加载的配置文件,比如application-local.yml
@ActiveProfiles("local")
// 修改启动环境
@SpringBootTest(webEnvironment = SpringBootTest.WebEnvironment.RANDOM_PORT)
class SuperJsonManagerApplicationTests {@Testvoid contextLoads() {}@Autowired private JwtTokenProvider jwtConfig;@Autowired private JwtProperties jwtProperties;/*** 测试token** @author 念兮为美* @datetime 2022/8/24:15:45* @return*/@Testpublic void tokenGener() {String token ="Bearer eyJhbGciOiJIUzUxMiJ9.eyJzdWIiOiJ7XCJ1c2VySWRcIjoxMjAwMDEsXCJ1c2VybmFtZVwiOlwi5b-15YWu5Li6576OXCJ9IiwiZXhwIjoxNjY0MTcwNTIzfQ.RRSvdTVQt6QRj66ghsLPWnBuK8xJxghENfsmbDhl7aYMOmpR3edS_xrm823-bv_SxHA5ToYEfnUYI-uO5ce8gg";token = token.replaceAll(jwtProperties.getTokenStartWith(), "");JSONObject jsonObject = jwtConfig.parseToken(token);System.out.println(jsonObject);}
}
输出结果如下图所示:
6. 总结
6.1 优点
因为
json
的通用性,所以JWT
是可以进行跨语言支持的,像JAVA
,JavaScript
,NodeJS
,PHP
等很多语言都可以使用因为有了
payload
部分,所以JWT
可以在自身存储一些其他业务逻辑所必要的非敏感信息便于传输,jwt的构成非常简单,字节占用很小,所以它是非常便于传输的
它不需要在服务端保存会话信息, 所以它易于应用的扩展
6.2 安全相关
不应该在
jwt
的payload
部分存放敏感信息,因为该部分是客户端可解密的部分保护好
secret
私钥,该私钥非常重要如果可以,请使用
https
协议
7. 参看文档
- https://www.jianshu.com/p/576dbf44b2ae
一文详解jwt token以及sprig boot如何整合实现 jwt token操作相关推荐
- 一文详解JavaBean 看这篇就够了
一文详解JavaBean 看这篇就够了 JavaBean的历史渊源 JavaBean的定义(通俗版) JavaBean应用 < jsp:useBean > < jsp:getProp ...
- 【卷积神经网络结构专题】一文详解AlexNet(附代码实现)
关注上方"深度学习技术前沿",选择"星标公众号", 资源干货,第一时间送达! [导读]本文是卷积神经网络结构系列专题第二篇文章,前面我们已经介绍了第一个真正意义 ...
- 一文详解 YOLO 2 与 YOLO 9000 目标检测系统
一文详解 YOLO 2 与 YOLO 9000 目标检测系统 from 雷锋网 雷锋网 AI 科技评论按:YOLO 是 Joseph Redmon 和 Ali Farhadi 等人于 2015 年提出 ...
- 一文详解决策树算法模型
AI有道 一个有情怀的公众号 上文我们主要介绍了Adaptive Boosting.AdaBoost演算法通过调整每笔资料的权重,得到不同的hypotheses,然后将不同的hypothesis乘以不 ...
- 「软件项目管理」一文详解软件配置管理计划
一文详解软件配置管理计划 前言 一.配置管理概述 1. 配置管理(SCM)定义 2. 软件配置项目(SCI) 3. 基线 4. 软件配置控制委员会(SCCB) 二.软件配置管理过程 1. 管理过程 2 ...
- 「软件项目管理」一文详解软件项目质量计划
一文详解软件项目质量计划
- 「软件项目管理」一文详解软件项目管理概述
一文详解软件项目管理概述
- OpenCV-Python实战(12)——一文详解AR增强现实
OpenCV-Python实战(12)--一文详解AR增强现实 0. 前言 1. 增强现实简介 2. 基于无标记的增强现实 2.1 特征检测 2.2 特征匹配 2.3 利用特征匹配和单应性计算以查找对 ...
- Python-Matplotlib可视化(10)——一文详解3D统计图的绘制
Python-Matplotlib可视化(10)--一文详解3D统计图的绘制 前言 3D散点图 3D曲线图 3D标量场 绘制3D曲面 在3D坐标轴中绘制2D图形 3D柱形图 系列链接 前言 Matpl ...
最新文章
- Python中函数的参数传递与可变长参数
- 网页爬虫 python-python爬虫——爬取网页的中文
- jQuery easyUI--消息框的使用
- 四篇NeurIPS 2019论文,快手特效中的模型压缩了解一下
- python卸载pip_PIP安装和卸载包,pip
- oracle中execute函数,Oracle 动态SQL execute immediate写法 zt
- 想创业怕失败就不要轻易选择去创业
- Ubuntu安装Chrome的方法
- Python科学绘图 网格色块背景分类图 基于pcolormesh函数
- 安卓解压html语言,安卓怎么解压7z带密码的文件
- CocoaPods禁止显示警告inhibit_all_warnings
- 《Python编程:从入门到实践》第12章:武装飞船
- 模拟IIC——关于模拟IIC的IO口的配置选取推挽输出还是开漏输出,以及是否需要更改IO口输入输出模式和是否需要对IO配置上拉
- 【正向偏置和反向偏置的区别】
- 高新技术企业补助政策
- 半夜仍在加班的我,知道了老板跟女友都在跑步。
- vuex使用方法(详细实用)
- 《筱静观察》第三季第12期丨区块链赋能数字政府
- android中的ImageView,ImageView加载网络图片
- HTTP代理ip的API接口怎么用?