SpringBoot使用JWT进行身份验证

JWT身份验证的流程

用户登录：用户向服务器提供他们的用户名和密码。
服务器验证：服务器接收到请求，验证用户名和密码。
生成JWT：如果用户名和密码验证通过，服务器将创建一个 JWT。 JWT 包含了一些数据（称为声明），例如用户 ID、用户名、令牌过期时间等。然后，服务器将对 JWT 进行签名，并将其发送回用户。
用户存储JWT：用户接收到 JWT，并将其存储在某个位置，例如Web浏览器的localStorage中。
发送带有JWT的请求：之后，每当用户向服务器发送请求（例如获取数据）时，他们都将在请求头的 Authorization 字段中包含 JWT。
服务器验证JWT：服务器接收到用户的请求，并从 Authorization 头中提取 JWT。然后，服务器验证该 JWT：它会检查 JWT 是否已经过期，验证签名是否有效，还可能验证一些其他的声明。如果 JWT 有效，服务器就知道这个请求是合法的，并继续处理请求。
返回响应：一旦服务器处理完用户的请求，它就会将响应发送回用户。
刷新JWT：如果 JWT 过期了，服务器可能会返回一个新的 JWT 给用户，或者让用户重新登陆，以便他们可以继续发送合法的请求。

JWT的安全性

如果你改变了 JWT 中的任何部分（包括头部、负载或签名），然后尝试验证它，你可能会遇到几个问题：

签名错误：JWT 的签名是根据头部和负载计算得出的。如果你修改了头部或负载的任何部分，那么签名就不再有效，JWT 的验证将会失败。这是因为签名是为了确保 JWT 的头部和负载没有被篡改。
格式错误：如果你修改了 JWT 的格式（例如，删除了某个部分，或者改变了部分之间的点号分隔符），那么 JWT 可能无法被正确解析，这将导致错误。
负载数据错误：如果你修改了负载中的数据（这是 JWT 中包含的实际信息，如用户 ID、过期时间等），那么这些数据可能无法被正确解析，或者可能导致验证错误（例如，如果你把过期时间改为了过去的时间，那么 JWT 将被视为已经过期）。

SpringBoot中使用JWT

添加maven依赖

<dependency><groupId>io.jsonwebtoken</groupId><artifactId>jjwt-api</artifactId><version>0.11.2</version>
</dependency>
<dependency><groupId>io.jsonwebtoken</groupId><artifactId>jjwt-impl</artifactId><version>0.11.2</version><scope>runtime</scope>
</dependency>
<dependency><groupId>io.jsonwebtoken</groupId><artifactId>jjwt-jackson</artifactId><version>0.11.2</version><scope>runtime</scope>
</dependency>

package xin.students.springbootpro;import io.jsonwebtoken.*;
import io.jsonwebtoken.security.Keys;
import org.junit.jupiter.api.Test;
import org.springframework.boot.test.context.SpringBootTest;import javax.crypto.SecretKey;
import java.util.Date;
import java.util.UUID;@SpringBootTest
class SpringBootProApplicationTests {// 设置 token 过期时间为24小时private long time = 1000 * 60 * 60 * 24;// 使用 HS256 算法生成一个安全的密钥private SecretKey signature = Keys.secretKeyFor(SignatureAlgorithm.HS256);@Testpublic void createToken() {// 构建一个 JWT BuilderJwtBuilder jwtBuilder = Jwts.builder();// 生成 JWT TokenString jwtToken = jwtBuilder.setHeaderParam("typ", "JWT") // 设置 JWT 类型.setHeaderParam("alg", "HS256") // 设置签名算法.claim("username", "tom") // 添加 username 到载荷中（自定义的key:value）.claim("role", "admin") // 添加 role 到载荷中（自定义的key:value）.setSubject("admin-test") // 设置主题.setExpiration(new Date(System.currentTimeMillis() + time)) // 设置过期时间.setId(UUID.randomUUID().toString()) // 设置 JWT ID，通常是随机生成的.signWith(signature) // 签名 JWT，用以验证其完整性.compact(); // 压缩 JWT 到一个 compact, URL-safe stringSystem.out.println(jwtToken);System.out.println("下面是解密后的原文------------------------------------");// 解析生成的 tokenparseToken(jwtToken);}public void parseToken(String token) {// 创建一个 JWT 解析器JwtParser jwtParser = Jwts.parserBuilder().setSigningKey(signature).build();// 解析 tokenJws<Claims> claimsJws = jwtParser.parseClaimsJws(token);// 获取载荷Claims claims = claimsJws.getBody();// 打印载荷中的各种信息System.out.println(claims.get("username")); // 打印 username对应的值System.out.println(claims.get("role")); // 打印 role对应的值System.out.println(claims.getId()); // 打印 JWT IDSystem.out.println(claims.getSubject()); // 打印主题System.out.println(claims.getExpiration()); // 打印过期时间}
}