1. 前言

本篇博客是借鉴一位大佬的博客的，目的是自己手敲一遍能够记得更加深刻，同时也是以防万一那位大佬把博客删了，以后就看不了这么好的文章了。一开始的时候没有注意到JWT技术，直到前几天面试的时候，面试官问到了这个问题，当时当场就懵了，所以这次来补一下。文章原文：JWT详解

2. 什么是JWT

在介绍JWT之前，我们先来回顾一下利用token进行用户身份验证的流程：

客户端使用用户名和密码请求登录。

服务端收到请求后，验证用户名和密码。

验证成功后，服务端会签发一个token，然后再把token返回给客户端。

客户端收到token后可以把它存储起来，比如放到cookie中。

客户端每次向服务器发送情趣时都需要携带这个token，可以在cookie或者header中携带。

服务端接收到请求后，去验证客户端请求里面携带的token，如果验证成功就向客户端返回请求数据。

这种基于token的认证方式相比传统的session认证方式更节约服务器资源，并且对移动端和分布式更加友好。其优点如下：

支持跨域访问：cookie是无法跨域的，而token由于没有用到cookie（前提是token存在于header中），所以跨域后不会存在信息丢失问题。
无状态：token机制在服务端不需要存储session信息，因为token本身就包含了所有登录用户的信息，所以可以减轻服务端压力。
更适用CDN：可以通过内容分发网络请求服务端的所有资料。
更适用于移动端：当客户端是非浏览器平台时，cookie是不被支持的，此时采用token认证方式会简单很多。
无需考虑CSRF：由于不在考虑cookie，所以采用token认证方式不会发生CSRF，所以不需要考虑CSRF的防御。

而JWT就是上述所说的token的一种具体实现方式，全称叫做JSON Web Token，官网地址：https://jwt.io/

通俗的讲，JWT本质上就是一个字符串，它是讲用户信息保存到一个JSON字符串中，然后进行编码后得到的一个JWT Token，并且这个JWT Token带有签名信息，接收后可以校验是否被篡改，所以可以用于在各方之间安全地讲信息作为JSON对象传输，JWT的验证流程如下：

客户端通过表单的形式将自己用户名和密码发送到后端接口，这个过程一般是一个POST请求。建议的方式是通过SSL加密的传输，从而避免敏感信息呗篡改。

后端核对用户名和密码后，讲包含用户信息的数据作为JWT的Payload，将其于JWT Header分别进行Base64编码拼接后签名，形成一个JWT Token（如111.aaa.nnn的字符串）。

后端将JWT Token字符串作为登录成功的结果返回给客户端。客户端可以讲返回的结果保存在浏览器中，退出登录时删除保存的JWT Token即可。

客户端每次请求时都会将JWT Token放入HTTP请求头中的Authorization属性中。

服务器检查客户端发送过来的JWT Token，验证器有效性，比如检查签名是否正确、是否过期、token的接收方是否是自己等等。

验证通过后，服务器解析出JWT Token中包含的用户信息，进行其他逻辑操作，返回结果。

3. 为什么要用JWT

讲为什么要用JWT之前我们先将一下Session的弊端。我们都知道HTTP本身是一种无状态的协议，这就意味着如果用户向我们应用提供了用户名和密码来进行用户认证，认证通过后HTTP协议不会记录认证后的状态，那么下一次请求时，用户还要进行一次认证，因为根据HTTP协议，我们并不知道哪个用户发出的请求，所以为了让我们的应用能识别出哪个用户发出的请求，我们只能在用户首次登录成功后，在服务器存储一份用户登录的信息，这份登录信息就会在响应时传递给浏览器，告诉其保存为cookie，以便下次请求时发送给我们的用户，这样我们的应用就能识别请求来自哪个用户量，这就是传统的基于session认证的过程。
在这里插入图片描述
然后，传统的session认证会有下面几个问题：

每个用户的登录信息都会保存在服务器的session中，随着用户的增多，服务器的开销会明显增大。
由于session是存在于服务器的物理内存中，所以在分布式系统中，这种方式会失效。虽然可以将session同意保存到redis中，但是这样做无疑增加了系统的复杂性，对于不需要redis的应用也会白白多引入了一个缓存中间件。
因为session是依赖于cookie的，所以对于非浏览器的客户端或者移动端来说经常是没有cookie的，所以使用session的方式会失效。
因为session认证的本质是基于cookie的，如果cookie被截获，用户很容易收到跨站请求伪造攻击。并且如果浏览器禁用了cookie，这种方式也会失效。
前后端分离的系统中更加不适用，后端部署复杂，客户端发送的请求往往经过多个中间件才能到达服务器，cookie关于session的信息会转发多次。
由于基于cookie，而cookie无法跨域，所以session的认证也无法跨域。

提到session，我想起了当时面试时面试官问了我一个问题：如果cookie被禁用了，那怎样能够找到session呢？
答案：常见的解决方案有两种。第一种是URL重写，就是把session id直接附加在URL路径的后面。第一种就是表单隐藏字段，在表单中添加一个隐藏字段，以便表单提交时能够把session id传到服务器中。比如：

<form name="testform" action="/xxx"> 
     <input type="hidden" name="jsessionid" value="ByOK3vjFD75aPnrF7C2HmdnV6QZcEbzWoWiBYEnLerjQ99zWpBng!-145788764"/>
     <input type="text"> 
</form>

JWT的优势：

简洁：JWT Token的数据量小，传输速度快。
由于JWT Token是以JSON加密的形式保存在客户端的,所以JWT是跨语言的，原则上任何web形式都支持。
不需要服务端保存会话信息，也就是说不依赖于cookie和session，所以没有了传统session认证的弊端，特别适用于分布式微服务。
单点登录友好。适用session进行身份认证的话，由于cookie不能进行跨域，难以实现单点登录。但是，适用token进行验证的话，token可以被保存在客户端的任意位置的内存中，不一定是cookie，所以不依赖cookie，也就不会出现这些问题。
适用移动端：适用session进行身份验证的话，需要保存一份信息在服务端，而且这种方式会依赖到cookie，所以不适用移动端。

4. JWT的结构

JWT由三部分组成：标头（header）、有效载荷（payload）和签名（Signature）。在传输的时候，会将JWT的三个部分分别进行Base64编码后用 . 进行连接形成最终传输的字符串。
在这里插入图片描述
4.1 Header：
JWT头是一个描述JWT元数据的JSON对象，alt属性表示签名适用的算法，默认为HMAC SHA256（即HS256）；typ属性表示令牌的类型，JWT令牌统一写成JWT。最后适用Base64 URL算法将上述JSON对象转换成字符串保存。

{
    
    
  "alg": "HS256",
  "typ": "JWT"
}

4.2 Payload
有效载荷部分是JWT的主题部分，也是一个JSON对象，包含需要传递的数据。JWT指定默认字段供选择。

iss：发行人
exp：到期时间
sub：主题
aud：用户
nbf：在此之前不可用
iat：发布时间
jti：JWT ID用于标识该JWT

除上述默认字段外，我们还可以自定义私有字段，一般回吧用户信息的数据放到payload中，如下

{
    
    
  "sub": "1234567890",
  "name": "Helen",
  "admin": true
}

注意：默认情况下JWT是未加密的，只是采用base64算法，拿到JWT字符串后可以转回原本的JSON数据，任何人都可以解读其内容，因此不要构建隐私信息字段，比如用户的密码一定不能保存到JWT中。
4.3 Signature
签名哈希部分是对上面两部分数据签名，需要还用base64编码后的header和payload数据，通过指定的算法生成哈希，以确保数据不会被篡改。首先需要指定一个密钥。该密钥仅仅为保存在服务器中，并且不能向用户公开。然后使用header中指定的签名算法生成签名。计算出签名哈希后，JWT头、有效载荷和签名哈希的三个部分组成一个字符串，每个部分用.分隔，就构成整个JWT对象。

注意JWT每个部分的作用，在服务端接收到客户端发送过来的JWT Token之后：

header 和payload可以直接利用base64解析出原文，从header中获取哈希签名的算法，从payload中获取有效的数据。

signature由于使用了不可逆的加密算法，无法解析出原文，它的作用是校验token有没有被篡改。服务端获取header中的加密算法之后，利用该算法加上secretKey对header、payload进行加密，比对加密后的数据和客户端发送过来的是否一致。注意secretKey只能保存在服务器中，而且对于不同的加密算法其含义有所不同，一般对于MD5类型的摘要加密算法，secretKey实际上代表的是盐值。

5.JWT的种类

其实JWT(JSON Web Token)指的是一种规范，这种规范允许我们使用JWT在两个组织之间传递安全可靠的信息，JWT的具体实现可以分为以下几种：

nonsecure JWT：未经过签名，不安全的JWT
JWS：经过签名的JWT
JWE：payload部分经过加密的JWT

5.1 nonsecure JWT
未使用签名的JWT，即不安全的JWT。其header部分没有指定签名算法，并且也没有Signature部分。
5.2 JWS
JWS ，也就是JWT Signature，其结构就是在之前nonsecure JWT的基础上，在头部声明签名算法，并在最后添加上签名。创建签名，是保证jwt不能被他人随意篡改。我们通常使用的JWT一般都是JWS。为了完成签名，除了用到header信息和payload信息外，还需要算法的密钥，也就是secretKey。加密的算法一般有2类：

对称加密：secretKey指加密密钥，可以生成签名与验签
非对称加密：secretKey指私钥，只用来生成签名，不能用来验签(验签用的是公钥)

JWT的密钥或者密钥对，一般统一称为JSON Web Key，也就是JWK。到目前为止，jwt的签名算法有三种：

HMAC【哈希消息验证码(对称)】：HS256/HS384/HS512
RSASSA【RSA签名算法(非对称)】（RS256/RS384/RS512）
ECDSA【椭圆曲线数据签名算法(非对称)】（ES256/ES384/ES512）

6.实际开发中的应用

6.1 java-jwt
引入依赖

<dependency>
    <groupId>com.auth0</groupId>
    <artifactId>java-jwt</artifactId>
    <version>3.10.3</version>
</dependency>

生成token

public class JWTTest {
    
    
    @Test
    public void testGenerateToken(){
    
    
        // 指定token过期时间为10秒
        Calendar calendar = Calendar.getInstance();
        calendar.add(Calendar.SECOND, 10);

        String token = JWT.create()
                .withHeader(new HashMap<>())  // Header
                .withClaim("userId", 21)  // Payload
                .withClaim("userName", "baobao")
                .withExpiresAt(calendar.getTime())  // 过期时间
                .sign(Algorithm.HMAC256("!34ADAS"));  // 签名用的secret

        System.out.println(token);
    }
}

解析JWT字符串

public class JWTTest {
    
    
    @Test
    public void testGenerateToken(){
    
    
        // 指定token过期时间为10秒
        Calendar calendar = Calendar.getInstance();
        calendar.add(Calendar.SECOND, 10);

        String token = JWT.create()
                .withHeader(new HashMap<>())  // Header
                .withClaim("userId", 21)  // Payload
                .withClaim("userName", "baobao")
                .withExpiresAt(calendar.getTime())  // 过期时间
                .sign(Algorithm.HMAC256("!34ADAS"));  // 签名用的secret

        System.out.println(token);
    }
}

6.2 jjwt-root
引入依赖

<!-- https://mvnrepository.com/artifact/io.jsonwebtoken/jjwt -->
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt</artifactId>
    <version>0.9.1</version>
</dependency>

public class JwtUtils {
    
    
    // token时效：24小时
    public static final long EXPIRE = 1000 * 60 * 60 * 24;
    // 签名哈希的密钥，对于不同的加密算法来说含义不同
    public static final String APP_SECRET = "ukc8BDbRigUDaY6pZFfWus2jZWLPHO";

    /**
     * 根据用户id和昵称生成token
     * @param id  用户id
     * @param nickname 用户昵称
     * @return JWT规则生成的token
     */
    public static String getJwtToken(String id, String nickname){
    
    
        String JwtToken = Jwts.builder()
                .setHeaderParam("typ", "JWT")
                .setHeaderParam("alg", "HS256")
                .setSubject("baobao-user")
                .setIssuedAt(new Date())
                .setExpiration(new Date(System.currentTimeMillis() + EXPIRE))
                .claim("id", id)
                .claim("nickname", nickname)
            	// HS256算法实际上就是MD5加盐值，此时APP_SECRET就代表盐值
                .signWith(SignatureAlgorithm.HS256, APP_SECRET)
                .compact();

        return JwtToken;
    }

    /**
     * 判断token是否存在与有效
     * @param jwtToken token字符串
     * @return 如果token有效返回true，否则返回false
     */
    public static boolean checkToken(String jwtToken) {
    
    
        if(StringUtils.isEmpty(jwtToken)) return false;
        try {
    
    
            Jwts.parser().setSigningKey(APP_SECRET).parseClaimsJws(jwtToken);
        } catch (Exception e) {
    
    
            e.printStackTrace();
            return false;
        }
        return true;
    }

    /**
     * 判断token是否存在与有效
     * @param request Http请求对象
     * @return 如果token有效返回true，否则返回false
     */
    public static boolean checkToken(HttpServletRequest request) {
    
    
        try {
    
    
            // 从http请求头中获取token字符串
            String jwtToken = request.getHeader("token");
            if(StringUtils.isEmpty(jwtToken)) return false;
            Jwts.parser().setSigningKey(APP_SECRET).parseClaimsJws(jwtToken);
        } catch (Exception e) {
    
    
            e.printStackTrace();
            return false;
        }
        return true;
    }

    /**
     * 根据token获取会员id
     * @param request Http请求对象
     * @return 解析token后获得的用户id
     */
    public static String getMemberIdByJwtToken(HttpServletRequest request) {
    
    
        String jwtToken = request.getHeader("token");
        if(StringUtils.isEmpty(jwtToken)) return "";
        Jws<Claims> claimsJws = Jwts.parser().setSigningKey(APP_SECRET).parseClaimsJws(jwtToken);
        Claims claims = claimsJws.getBody();
        return (String)claims.get("id");
    }
}

jjwt在0.10版本后发生了较大的变化，依赖需要引入多个

<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-api</artifactId>
    <version>0.11.2</version>
</dependency>
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-impl</artifactId>
    <version>0.11.2</version>
    <scope>runtime</scope>
</dependency>
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-jackson</artifactId> <!-- or jjwt-gson if Gson is preferred -->
    <version>0.11.2</version>
    <scope>runtime</scope>
</dependency>

在jjwt0.10版本后对secretKey长度有如下的强制要求：

HS256：要求至少 256 bits (32 bytes)
HS384：要求至少384 bits (48 bytes)
HS512：要求至少512 bits (64 bytes)
RS256 and PS256：至少2048 bits
RS384 and PS384：至少3072 bits
RS512 and PS512：至少4096 bits
ES256：至少256 bits (32 bytes)
ES384：至少384 bits (48 bytes)
ES512：至少512 bits (64 bytes)

新版本的jjwt中，之前的签名和验签方法都是传入密钥的字符串，已经过时。最新的方法需要传入Key对象。

public class JwtUtils {
    
    
    // token时效：24小时
    public static final long EXPIRE = 1000 * 60 * 60 * 24;
    // 签名哈希的密钥，对于不同的加密算法来说含义不同
    public static final String APP_SECRET = "ukc8BDbRigUDaY6pZFfWus2jZWLPHOsdadasdasfdssfeweee";

    /**
     * 根据用户id和昵称生成token
     * @param id  用户id
     * @param nickname 用户昵称
     * @return JWT规则生成的token
     */
    public static String getJwtToken(String id, String nickname){
    
    
        String JwtToken = Jwts.builder()
                .setSubject("baobao-user")
                .setIssuedAt(new Date())
                .setExpiration(new Date(System.currentTimeMillis() + EXPIRE))
                .claim("id", id)
                .claim("nickname", nickname)
                // 传入Key对象
                .signWith(Keys.hmacShaKeyFor(APP_SECRET.getBytes(StandardCharsets.UTF_8)), SignatureAlgorithm.HS256)
                .compact();
        return JwtToken;
    }

    /**
     * 判断token是否存在与有效
     * @param jwtToken token字符串
     * @return 如果token有效返回true，否则返回false
     */
    public static Jws<Claims> decode(String jwtToken) {
    
    
        // 传入Key对象
        Jws<Claims> claimsJws = Jwts.parserBuilder().setSigningKey(Keys.hmacShaKeyFor(APP_SECRET.getBytes(StandardCharsets.UTF_8))).build().parseClaimsJws(jwtToken);
        return claimsJws;
    }
}

在实际的SpringBoot项目中，一般我们可以用如下流程做登录：

在登录验证通过后，给用户生成一个对应的随机token(注意这个token不是指jwt，可以用uuid等算法生成)，然后将这个token作为key的一部分，用户信息作为value存入Redis，并设置过期时间，这个过期时间就是登录失效的时间
将第1步中生成的随机token作为JWT的payload生成JWT字符串返回给前端
前端之后每次请求都在请求头中的Authorization字段中携带JWT字符串
后端定义一个拦截器，每次收到前端请求时，都先从请求头中的Authorization字段中取出JWT字符串并进行验证，验证通过后解析出payload中的随机token，然后再用这个随机token得到key，从Redis中获取用户信息，如果能获取到就说明用户已经登录

public class JWTInterceptor implements HandlerInterceptor {
    
    
    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
    
    
        String JWT = request.getHeader("Authorization");
        try {
    
    
            // 1.校验JWT字符串
            DecodedJWT decodedJWT = JWTUtils.decode(JWT);
            // 2.取出JWT字符串载荷中的随机token，从Redis中获取用户信息
            ...
            return true;
        }catch (SignatureVerificationException e){
    
    
            System.out.println("无效签名");
            e.printStackTrace();
        }catch (TokenExpiredException e){
    
    
            System.out.println("token已经过期");
            e.printStackTrace();
        }catch (AlgorithmMismatchException e){
    
    
            System.out.println("算法不一致");
            e.printStackTrace();
        }catch (Exception e){
    
    
            System.out.println("token无效");
            e.printStackTrace();
        }
        return false;
    }
}

JWT讲解与实际运用

目录