码迷，mamicode.com
首页 > 其他好文 > 详细

JWT

时间：2019-09-07 10:20:51      阅读：82      评论：0      收藏：0      [点我收藏+]

标签：window   product   令牌   encode   mic   @param   mini   解析   asi   

1. JWT是什么
JSON Web Token (JWT)，它是目前最流行的跨域身份验证解决方案


2. 为什么使用JWT
JWT的精髓在于：“去中心化”，数据是保存在客户端的。


3. JWT的工作原理
1. 是在服务器身份验证之后，将生成一个JSON对象并将其发送回用户，示例如下：
{"UserName": "Chongchong","Role": "Admin","Expire": "2018-08-08 20:15:56"}

2. 之后，当用户与服务器通信时，客户在请求中发回JSON对象

3. 为了防止用户篡改数据，服务器将在生成对象时添加签名，并对发回的数据进行验证

JWT实现登录验证

JwtUtils.java

package com.zking.vue.util;

import java.util.Date;
import java.util.Map;
import java.util.UUID;

import javax.crypto.SecretKey;
import javax.crypto.spec.SecretKeySpec;

import org.apache.commons.codec.binary.Base64;

import io.jsonwebtoken.Claims;
import io.jsonwebtoken.JwtBuilder;
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;

/**
 * JWT验证过滤器：配置顺序 CorsFilte->JwtUtilsr-->StrutsPrepareAndExecuteFilter
 *
 */
public class JwtUtils {
    /**
     * JWT_WEB_TTL：WEBAPP应用中token的有效时间,默认30分钟
     */
    public static final long JWT_WEB_TTL = 30 * 60 * 1000;

    /**
     * 将jwt令牌保存到header中的key
     */
    public static final String JWT_HEADER_KEY = "jwt";

    // 指定签名的时候使用的签名算法，也就是header那部分，jjwt已经将这部分内容封装好了。
    private static final SignatureAlgorithm SIGNATURE_ALGORITHM = SignatureAlgorithm.HS256;
    private static final String JWT_SECRET = "f356cdce935c42328ad2001d7e9552a3";// JWT密匙
    private static final SecretKey JWT_KEY;// 使用JWT密匙生成的加密key

    static {
        byte[] encodedKey = Base64.decodeBase64(JWT_SECRET);
        JWT_KEY = new SecretKeySpec(encodedKey, 0, encodedKey.length, "AES");
    }

    private JwtUtils() {
    }

    /**
     * 解密jwt，获得所有声明(包括标准和私有声明)
     * 
     * @param jwt
     * @return
     * @throws Exception
     */
    public static Claims parseJwt(String jwt) {
        Claims claims = Jwts.parser().setSigningKey(JWT_KEY).parseClaimsJws(jwt).getBody();
        return claims;
    }

    /**
     * 创建JWT令牌，签发时间为当前时间
     * 
     * @param claims
     *            创建payload的私有声明（根据特定的业务需要添加，如果要拿这个做验证，一般是需要和jwt的接收方提前沟通好验证方式的）
     * @param ttlMillis
     *            JWT的有效时间(单位毫秒)，当前时间+有效时间=过期时间
     * @return jwt令牌
     */
    public static String createJwt(Map<String, Object> claims, long ttlMillis) {
        // 生成JWT的时间，即签发时间
        long nowMillis = System.currentTimeMillis();

        // 下面就是在为payload添加各种标准声明和私有声明了
        // 这里其实就是new一个JwtBuilder，设置jwt的body
        JwtBuilder builder = Jwts.builder()
                // 如果有私有声明，一定要先设置这个自己创建的私有的声明，这个是给builder的claim赋值，一旦写在标准的声明赋值之后，就是覆盖了那些标准的声明的
                .setClaims(claims)
                // 设置jti(JWT ID)：是JWT的唯一标识，根据业务需要，这个可以设置为一个不重复的值，主要用来作为一次性token,从而回避重放攻击。
                // 可以在未登陆前作为身份标识使用
                .setId(UUID.randomUUID().toString().replace("-", ""))
                // iss(Issuser)签发者，写死
                // .setIssuer("zking")
                // iat: jwt的签发时间
                .setIssuedAt(new Date(nowMillis))
                // 代表这个JWT的主体，即它的所有人，这个是一个json格式的字符串，可放数据{"uid":"zs"}。此处没放
                // .setSubject("{}")
                // 设置签名使用的签名算法和签名使用的秘钥
                .signWith(SIGNATURE_ALGORITHM, JWT_KEY)
                // 设置JWT的过期时间
                .setExpiration(new Date(nowMillis + ttlMillis));

        return builder.compact();
    }

    /**
     * 复制jwt，并重新设置签发时间(为当前时间)和失效时间
     * 
     * @param jwt
     *            被复制的jwt令牌
     * @param ttlMillis
     *            jwt的有效时间(单位毫秒)，当前时间+有效时间=过期时间
     * @return
     */
    public static String copyJwt(String jwt, Long ttlMillis) {
        Claims claims = parseJwt(jwt);

        // 生成JWT的时间，即签发时间
        long nowMillis = System.currentTimeMillis();

        // 下面就是在为payload添加各种标准声明和私有声明了
        // 这里其实就是new一个JwtBuilder，设置jwt的body
        JwtBuilder builder = Jwts.builder()
                // 如果有私有声明，一定要先设置这个自己创建的私有的声明，这个是给builder的claim赋值，一旦写在标准的声明赋值之后，就是覆盖了那些标准的声明的
                .setClaims(claims)
                // 设置jti(JWT ID)：是JWT的唯一标识，根据业务需要，这个可以设置为一个不重复的值，主要用来作为一次性token,从而回避重放攻击。
                // 可以在未登陆前作为身份标识使用
                //.setId(UUID.randomUUID().toString().replace("-", ""))
                // iss(Issuser)签发者，写死
                // .setIssuer("zking")
                // iat: jwt的签发时间
                .setIssuedAt(new Date(nowMillis))
                // 代表这个JWT的主体，即它的所有人，这个是一个json格式的字符串，可放数据{"uid":"zs"}。此处没放
                // .setSubject("{}")
                // 设置签名使用的签名算法和签名使用的秘钥
                .signWith(SIGNATURE_ALGORITHM, JWT_KEY)
                // 设置JWT的过期时间
                .setExpiration(new Date(nowMillis + ttlMillis));
        return builder.compact();
    }
}

JwtDemo.java

package com.zking.vue.test;

import java.text.SimpleDateFormat;
import java.util.Date;
import java.util.HashMap;
import java.util.Map;

import org.junit.Test;

import com.zking.vue.util.JwtUtils;

import io.jsonwebtoken.Claims;

public class JwtDemo {

    private SimpleDateFormat sdf = new SimpleDateFormat("yyyy-MM-dd HH:mm:ss.SSS");

    @Test
    public void test1() {// 生成JWT
        Map<String, Object> claims = new HashMap<String, Object>();
        claims.put("username", "zss");
        claims.put("age", 18);

        String jwt = JwtUtils.createJwt(claims, JwtUtils.JWT_WEB_TTL);
        System.out.println(jwt);

        Claims parseJwt = JwtUtils.parseJwt(jwt);
        for (Map.Entry<String, Object> entry : parseJwt.entrySet()) {
            System.out.println(entry.getKey() + "=" + entry.getValue());
        }
        Date d1 = parseJwt.getIssuedAt();
        Date d2 = parseJwt.getExpiration();
        System.out.println("令牌签发时间：" + sdf.format(d1));
        System.out.println("令牌过期时间：" + sdf.format(d2));
    }

    @Test
    public void test2() {// 解析oldJwt
//        String oldJwt = "eyJhbGciOiJIUzI1NiJ9.eyJleHAiOjE1NjI5MDMzNjAsImlhdCI6MTU2MjkwMTU2MCwiYWdlIjoxOCwianRpIjoiZDVjMzE4Njg0MDcyNDgyZDg1MDE5ODVmMDY3OGQ4NjkiLCJ1c2VybmFtZSI6InpzcyJ9.XDDDRRq5jYq5EdEBHtPm7GcuBz4S0VhDTS1amRCdf48";
        String oldJwt = "eyJhbGciOiJIUzI1NiJ9.eyJleHAiOjE1NjM1MjU5MjMsImlhdCI6MTU2MzUyNDEyMywiYWdlIjoxOCwianRpIjoiOTAzNmMwY2Q3NGIwNDBjMzgzMDAxYzdiNmZkMzYzZmIiLCJ1c2VybmFtZSI6InpzcyJ9.sgV9fr4fgmmahDFRJnsfazA6R3H-gNMVcg2ucA227n4";
        Claims parseJwt = JwtUtils.parseJwt(oldJwt);
        for (Map.Entry<String, Object> entry : parseJwt.entrySet()) {
            System.out.println(entry.getKey() + "=" + entry.getValue());
        }
        Date d1 = parseJwt.getIssuedAt();
        Date d2 = parseJwt.getExpiration();
        System.out.println("令牌签发时间：" + sdf.format(d1));
        System.out.println("令牌过期时间：" + sdf.format(d2));
    }

    @Test
    public void test3() {// 复制jwt，并延时30秒
        String oldJwt = "eyJhbGciOiJIUzI1NiJ9.eyJleHAiOjE1NjI5MDMzNjAsImlhdCI6MTU2MjkwMTU2MCwiYWdlIjoxOCwianRpIjoiZDVjMzE4Njg0MDcyNDgyZDg1MDE5ODVmMDY3OGQ4NjkiLCJ1c2VybmFtZSI6InpzcyJ9.XDDDRRq5jYq5EdEBHtPm7GcuBz4S0VhDTS1amRCdf48";
        String jwt = JwtUtils.copyJwt(oldJwt, JwtUtils.JWT_WEB_TTL);
        Claims parseJwt = JwtUtils.parseJwt(jwt);
        for (Map.Entry<String, Object> entry : parseJwt.entrySet()) {
            System.out.println(entry.getKey() + "=" + entry.getValue());
        }
        Date d1 = parseJwt.getIssuedAt();
        Date d2 = parseJwt.getExpiration();
        System.out.println("令牌签发时间：" + sdf.format(d1));
        System.out.println("令牌过期时间：" + sdf.format(d2));
    }

    @Test
    public void test4() {// 测试JWT的有效时间
        Map<String, Object> claims = new HashMap<String, Object>();
        claims.put("username", "zss");
        String jwt = JwtUtils.createJwt(claims, 3 * 1000L);
        System.out.println(jwt);
        Claims parseJwt = JwtUtils.parseJwt(jwt);
        Date d1 = parseJwt.getIssuedAt();
        Date d2 = parseJwt.getExpiration();
        System.out.println("令牌签发时间：" + sdf.format(d1));
        System.out.println("令牌过期时间：" + sdf.format(d2));
    }

    @Test
    public void test5() {// 三秒后再解析上面过期时间只有三秒的令牌，因为过期则会报错io.jsonwebtoken.ExpiredJwtException
        String oldJwt = "eyJhbGciOiJIUzI1NiJ9.eyJleHAiOjE1NjI4NTMzMzAsImlhdCI6MTU2Mjg1MzMyNywidXNlcm5hbWUiOiJ6c3MifQ.e098Vj9KBlZfC12QSDhI5lUGRLbNwb27lrYYSL6JwrQ";
        Claims parseJwt = JwtUtils.parseJwt(oldJwt);
        // 过期后解析就报错了，下面代码根本不会执行
        Date d1 = parseJwt.getIssuedAt();
        Date d2 = parseJwt.getExpiration();
        System.out.println("令牌签发时间：" + sdf.format(d1));
        System.out.println("令牌过期时间：" + sdf.format(d2));
    }
}

JwtFilter.java里面的OFF是JWT验证的开关   true为关闭jwt令牌验证功能

package com.zking.vue.util;

import java.io.IOException;
import java.util.regex.Matcher;
import java.util.regex.Pattern;

import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;

import io.jsonwebtoken.Claims;

/**
 * * JWT验证过滤器，配置顺序 ：CorsFilte-->JwtFilter-->struts2中央控制器
 * 
 * @author Administrator
 *
 */
public class JwtFilter implements Filter {

    // 排除的URL，一般为登陆的URL(请改成自己登陆的URL)
    private static String EXCLUDE = "^/vue/userAction_login\\.action?.*$";

    private static Pattern PATTERN = Pattern.compile(EXCLUDE);

    private boolean OFF = false;// true关闭jwt令牌验证功能

    @Override
    public void init(FilterConfig filterConfig) throws ServletException {
    }

    @Override
    public void destroy() {
    }

    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
            throws IOException, ServletException {
        HttpServletRequest req = (HttpServletRequest) request;
        HttpServletResponse resp = (HttpServletResponse) response;
        String path = req.getServletPath();
        if (OFF || isExcludeUrl(path)) {// 登陆直接放行
            chain.doFilter(request, response);
            return;
        }

        // 从客户端请求头中获得令牌并验证
        String jwt = req.getHeader(JwtUtils.JWT_HEADER_KEY);
        Claims claims = this.validateJwtToken(jwt);
        if (null == claims) {
            // resp.setCharacterEncoding("UTF-8");
            resp.sendError(403, "JWT令牌已过期或已失效");
            return;
        } else {
            String newJwt = JwtUtils.copyJwt(jwt, JwtUtils.JWT_WEB_TTL);
            resp.setHeader(JwtUtils.JWT_HEADER_KEY, newJwt);
            chain.doFilter(request, response);
        }
    }

    /**
     * 验证jwt令牌，验证通过返回声明(包括公有和私有)，返回null则表示验证失败
     */
    private Claims validateJwtToken(String jwt) {
        Claims claims = null;
        try {
            if (null != jwt) {
                claims = JwtUtils.parseJwt(jwt);
            }
        } catch (Exception e) {
            e.printStackTrace();
        }
        return claims;
    }

    /**
     * 是否为排除的URL
     * 
     * @param path
     * @return
     */
    private boolean isExcludeUrl(String path) {
        Matcher matcher = PATTERN.matcher(path);
        return matcher.matches();
    }

    // public static void main(String[] args) {
    // String path = "/sys/userAction_doLogin.action?username=zs&password=123";
    // Matcher matcher = PATTERN.matcher(path);
    // boolean b = matcher.matches();
    // System.out.println(b);
    // }

}

UserAction.java

package com.zking.vue.web;

import java.util.HashMap;
import java.util.Map;

import com.fasterxml.jackson.databind.ObjectMapper;
import com.opensymphony.xwork2.ModelDriven;
import com.zking.base.web.BaseAction;
import com.zking.vue.biz.UserBiz;
import com.zking.vue.entity.User;
import com.zking.vue.util.JsonData;
import com.zking.vue.util.JwtUtils;
import com.zking.vue.util.PageBean;
import com.zking.vue.util.ResponseUtil;
import com.zking.vue.util.StringUtils;

public class UserAction extends BaseAction implements ModelDriven<User>{

    private UserBiz userBiz;
    private User user = new User();

    public UserBiz getUserBiz() {
        return userBiz;
    }

    public void setUserBiz(UserBiz userBiz) {
        this.userBiz = userBiz;
    }
     
    public String login() {
        ObjectMapper om = new ObjectMapper();
        JsonData jsonData = null;
        try {
            if(StringUtils.isBlank(user.getUname()) || StringUtils.isBlank(user.getPwd())) {
                jsonData = new JsonData(0, "用户或者密码为空", user);
            }else {
                User u = this.userBiz.login(user);
                Map<String, Object> claims = new HashMap<String, Object>();
                claims.put("uname",user.getUname());
                claims.put("pwd", user.getPwd());
                String jwt = JwtUtils.createJwt(claims, JwtUtils.JWT_WEB_TTL);
                response.setHeader(JwtUtils.JWT_HEADER_KEY, jwt);
                jsonData = new JsonData(1, "登录成功", u);
            }
        } catch (Exception e) {
            e.printStackTrace();
            jsonData = new JsonData(0, "用户或者密码错误", user);
        }finally {
            try {
                ResponseUtil.write(response, om.writeValueAsString(jsonData));
            } catch (Exception e) {
                e.printStackTrace();
            }
        }
        
        return null;
    }
    
    public String getAsyncData() {
        ObjectMapper om = new ObjectMapper();
        try {
            Thread.sleep(6000);
            ResponseUtil.write(response, om.writeValueAsString("http://www.javaxl.com"));
        } catch (Exception e) {
            e.printStackTrace();
        }
        return null;
    }

    @Override
    public User getModel() {
        return user;
    }
}

http.js

/**
 * vue项目对axios的全局配置
 */
import axios from ‘axios‘
import qs from ‘qs‘

//引入action模块，并添加至axios的类属性urls上
import action from ‘@/api/action‘
axios.urls = action

// axios默认配置
axios.defaults.timeout = 10000; // 超时时间
// axios.defaults.baseURL = ‘http://localhost:8080/j2ee15‘; // 默认地址
axios.defaults.baseURL = action.SERVER;

//整理数据
// 只适用于 POST,PUT,PATCH，transformRequest` 允许在向服务器发送前，修改请求数据
axios.defaults.transformRequest = function(data) {
    data = qs.stringify(data);
    return data;
};


// 请求拦截器
axios.interceptors.request.use(function(config) {
    var jwt = window.vm.$store.getters.getJwt;
    config.headers[‘jwt‘] = jwt;
    return config;
}, function(error) {
    return Promise.reject(error);
});

// 响应拦截器
axios.interceptors.response.use(function(response) {
    // debugger;
    var jwt = response.headers[‘jwt‘];
    if(jwt){
        window.vm.$store.commit(‘setJwt‘,{jwt:jwt});
        
    }
    return response;
}, function(error) {
    return Promise.reject(error);
});

// // 路由请求拦截
// // http request 拦截器
// axios.interceptors.request.use(
//     config => {
//         //config.data = JSON.stringify(config.data);  
//         //config.headers[‘Content-Type‘] = ‘application/json;charset=UTF-8‘;
//         //config.headers[‘Token‘] = ‘abcxyz‘;
//         //判断是否存在ticket，如果存在的话，则每个http header都加上ticket
//         // if (cookie.get("token")) {
//         //     //用户每次操作，都将cookie设置成2小时
//         //     cookie.set("token", cookie.get("token"), 1 / 12)
//         //     cookie.set("name", cookie.get("name"), 1 / 12)
//         //     config.headers.token = cookie.get("token");
//         //     config.headers.name = cookie.get("name");
//         // }
//         return config;
//     },
//     error => {
//         return Promise.reject(error.response);
//     });

// // 路由响应拦截
// // http response 拦截器
// axios.interceptors.response.use(
//     response => {
//         if (response.data.resultCode == "404") {
//             console.log("response.data.resultCode是404")
//             // 返回 错误代码-1 清除ticket信息并跳转到登录页面
//             //      cookie.del("ticket")
//             //      window.location.href=‘http://login.com‘
//             return
//         } else {
//             return response;
//         }
//     },
//     error => {
//         return Promise.reject(error.response) // 返回接口返回的错误信息
//     });



export default axios;

 

main.js

// The Vue build version to load with the `import` command
// (runtime-only or standalone) has been set in webpack.base.conf with an alias.
import Vue from ‘vue‘
// process.env.MOCK && require(‘@/mock‘) 
import ‘element-ui/lib/theme-chalk/index.css‘
import App from ‘./App‘
import router from ‘./router‘
import ElementUI from ‘element-ui‘ // 新添加 1
import axios from ‘@/api/http‘ 
// import axios from ‘axios‘    
import VueAxios from ‘vue-axios‘
import store from ‘./store‘ 

Vue.use(VueAxios,axios)

Vue.use(ElementUI)
Vue.config.productionTip = false

/* eslint-disable no-new */
window.vm=new Vue({
  el: ‘#app‘,
  data(){
      return{
          Bus:new Vue({
              
          })
      }
  },
  router,
  store,
  components: { App },
  template: ‘<App/>‘
})

 

State.js

export default{
    
    jwt:‘‘
}

 

Getters.js

export default{
    getResturantName:(state)=>{
        return state.resturantName;
    },
    getJwt:(state)=>{
        return state.jwt;
    }
}

 

Mutations.js

export default{
    setResturantName:(state,payload)=>{
        state.resturantName=payload.resturantName;
    },
    setJwt:(state,payload)=>{
        state.jwt=payload.jwt;
    }
}

 

接下来看效果图

技术图片

 

 刷新没输账号的结果

技术图片

 这样JWT验证就起效果了

 

JWT

标签：window   product   令牌   encode   mic   @param   mini   解析   asi   

原文地址：https://www.cnblogs.com/ztbk/p/11479190.html
踩
(0)
赞
(0)
   
举报
评论 一句话评论（0）
登录后才能评论！
分享档案
更多>
2021年07月29日 (22)
2021年07月28日 (40)
2021年07月27日 (32)
2021年07月26日 (79)
2021年07月23日 (29)
2021年07月22日 (30)
2021年07月21日 (42)
2021年07月20日 (16)
2021年07月19日 (90)
2021年07月16日 (35)
周排行
mamicode.com排行更多图片
更多
友情链接
兰亭集智   国之画   百度统计   站长统计   阿里云   chrome插件   新版天听网
关于我们 - 联系我们 - 留言反馈
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码！