如何在springboot项目中使用JWT

如何在springboot项目中使用JWT

• 1、JWT是什么
• 2、JWT的组成
• 3、JWT的用途
• 4、为什么使用JWT
• 5、如何在项目中使用JWT
• • 1、引入依赖
  • 2、生成token
  • 3、开放路径
  • 4、配置拦截器
  • 5、使用
  • 6、运行���果

    1、JWT是什么

    JWT的全称为：JSON Web Token ，它定义了一种紧凑的、自包含的方式，用于作为JSON对象在各方之间安全地传输信息。该信息可以被验证和信任，因为它是数字签名的。

    2、JWT的组成

    JWT由三部分组成，它们之间用圆点(.)连接。这三部分分别是：

    Header.Payload.Signature

    1. Header是一个描述JWT元数据的JSON对象，alg属性表示签名使用的算法，默认为HMAC SHA256（写为HS256）。
    2. Payload是有效载荷部分，是JWT的主体内容部分，也是一个JSON对象，包含需要传递的数据。 JWT指定七个默认字段供选择。
    3. Signature是对上面两部分数据签名，需要使用base64编码后的header和payload数据，通过指定的算法生成哈希，以确保数据不会被篡改。
    4. 完整的JWT如下：

    eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJhdWQiOiI0NDAxODQyMDAwMDAwMDAwMDAifQ.Q7bE35fu4ZrE8FHF9HJfwAEV_pAYOtzYGDw5EVAnGts

    3、JWT的用途

    1. 客户端使用用户名和密码请求登录
    2. 服务端收到请求，验证用户名和密码
    3. 验证成功后，服务端会签发一个token，再把这个token返回给客户端
    4. 客户端收到token后可以把它存储起来，比如放到cookie中
    5. 客户端每次向服务端请求资源时需要携带服务端签发的token，可以在cookie或者header中携带
    6. 服务端收到请求，然后去验证客户端请求里面带着的token，如果验证成功，就向客户端返回请求数据

    4、为什么使用JWT

    在不动产预约登记系统项目开发初期，我试图用session来保存暂时需要保存或者暂时生成的数据，例如保存用户的账号密码记住用户登录的状态、保存各行政区的预约号球数量、保存用户当天取消预约次数等。但是使用session应用于前后端分离项目存在一定的弊端，例如由于session是存在与服务器的物理内存中，所以在分布式系统中，这种方式将会失效、因为session认证本质基于cookie，由于基于Cookie，而cookie无法跨域，所以session的认证也无法跨域，对单点登录不适用。所以使用session来进行开发项目并可行。

    在这时了解到了JWT。结合项目场景的使用，JWT能满足项目基本功能的开发，原因有一下几点：

    1. 因为JWT Token是以JSON加密形式保存在客户端的，所以JWT是跨语言的，原则上任何web形式都支持。
    2. 不需要在服务端保存会话信息，也就是说不依赖于cookie和session，所以没有了传统session认证的弊端，特别适用于分布式微服务。
    3. 单点登录友好：使用Session进行身份认证的话，由于cookie无法跨域，难以实现单点登录。但是，使用token进行认证的话，token可以被保存在客户端的任意位置的内存中，不一定是cookie，所以不依赖cookie，不会存在这些问题。
    4. 适合移动端应用：使用Session进行身份认证的话，需要保存一份信息在服务器端，而且这种方式会依赖到Cookie（需要 Cookie保存 SessionId），所以不适合移动端。

    5、如何在项目中使用JWT

    1、引入依赖

        com.auth0    java-jwt    3.10.3

    2、生成token

    根据使用场景，需要将生成token的方法写到对应的类中。在开发不动产预约登记系统中，我将生成token的方法写在了用户的基类中：

    public class Account {//用户信息    String id;    String email;    String username;    String password;    int cancelnum;    public String getToken(Account account) {        String token="";        token= JWT.create().withAudience(account.getId())                .sign(Algorithm.HMAC256(account.getPassword()));        return token;    }}

    为了确保token的唯一性，需要将用户的id以及password写入到token中进行加密.

    3、开放路径

    @Override    public void addInterceptors(InterceptorRegistry registry) {        registry                .addInterceptor(authorizeInterceptor)                .addPathPatterns("/**");// 拦截所有请求，通过判断是否有 @LoginRequired 注解 决定是否需要登录    }

    需要开放路径因为拦截器需要对全局路径进行扫描。

    4、配置拦截器

    public class AuthorizeInterceptor implements HandlerInterceptor {    @Resource    UserMapper mapper;    String token;    public String getToken() {        return token;    }    public void setToken(String token) {        this.token = token;    }    @Override    public boolean preHandle(HttpServletRequest httpServletRequest, HttpServletResponse httpServletResponse, Object object) throws Exception {        String token = httpServletRequest.getHeader("token");// 从 http 请求头中取出 token        // 如果不是映射到方法直接通过        if(!(object instanceof HandlerMethod)){            return true;        }        HandlerMethod handlerMethod=(HandlerMethod)object;        Method method=handlerMethod.getMethod();        //检查是否有passtoken注释，有则跳过认证        if (method.isAnnotationPresent(PassToken.class)) {            PassToken passToken = method.getAnnotation(PassToken.class);            if (passToken.required()) {                return true;            }        }        //检查有没有需要用户权限的注解        if (method.isAnnotationPresent(UserLoginToken.class)) {            UserLoginToken userLoginToken = method.getAnnotation(UserLoginToken.class);            if (userLoginToken.required()) {                // 执行认证                if (token == null) {                    throw new RuntimeException("无token，请重新登录");                }                // 获取 token 中的 user id                String email;                try {                    email = JWT.decode(token).getAudience().get(0);                } catch (JWTDecodeException j) {                    throw new RuntimeException("401");                }                Account account = mapper.findAccountByEmail(email);                if (account == null) {                    throw new RuntimeException("用户不存在，请重新登录");                }                // 验证 token                JWTVerifier jwtVerifier = JWT.require(Algorithm.HMAC256(account.getPassword())).build();                try {                    jwtVerifier.verify(token);                } catch (JWTVerificationException e) {                    throw new RuntimeException("401");                }                return true;            }        }        return true;    }    @Override    public void postHandle(HttpServletRequest httpServletRequest,                           HttpServletResponse httpServletResponse,                           Object o, ModelAndView modelAndView) throws Exception {    }    @Override    public void afterCompletion(HttpServletRequest httpServletRequest,                                HttpServletResponse httpServletResponse,                                Object o, Exception e) throws Exception {    }}

    5、使用

    根据项目功能，需要在登录接口写入注解以进行生成token并返回。

    @UserLoginToken    @PostMapping("/login2")//登录接口    public Object login(@Pattern(regexp = EMAIL_REGEX) @Length(min = 10, max = 20) @RequestParam("email") String email,                                  @Length(min = 6, max = 16) @RequestParam("password")String password,HttpSession session){        JSONObject jsonObject=new JSONObject();        Account account=service.login(email,password);        if(account==null){            jsonObject.put("status",401);            jsonObject.put("success",false);            jsonObject.put("message","登录失败,账号或密码错误");            return jsonObject;        }else  {                String token = account.getToken(account);                jsonObject.put("status",200);                jsonObject.put("success",true);                jsonObject.put("Token", token);                jsonObject.put("message", account);                return jsonObject;            }    }

    6、运行效果

    部分参考、引用：

    https://blog.csdn.net/weixin_45070175/article/details/118559272