Spring Boot + JWT：API token认证详解与实战示例
版权申诉
5星 · 超过95%的资源 90 浏览量
更新于2024-09-11
1
收藏 123KB PDF 举报 本文将深入探讨如何在Spring Boot应用中使用JWT (JSON Web Tokens) 实现API的token认证。JWT是一种轻量级的身份验证机制，特别适合于分布式系统，因为它允许在客户端存储加密过的令牌，从而减轻服务器端维护session或token的负担。以下是一些关键知识点：
1. **JWT简介**：
JWT由三部分组成：头部、载荷（payload）和签名。头部包含令牌类型和算法信息，载荷包含了用户信息如用户ID、角色等，而签名则是通过特定算法对这两部分进行加密，确保数据完整性和来源可信。
2. **依赖引入**：
使用Spring Boot项目时，需要引入`jjwt`库版本`0.9.0`以及`fastjson`库（例如`1.2.44`），以便处理JSON数据和生成JWT。
3. **生成JWT Token**：
生成JWT时，重要的是添加唯一的标识（如UUID和当前时间戳），以及设置签发者（issuer）、主题（subject）和接收者（audience）。此外，还可以选择压缩数据以减小大小。
示例代码如下：
```java
long currentTime = System.currentTimeMillis();
Jwts.builder()
.setId(UUID.randomUUID().toString())
.setIssuedAt(new Date(currentTime))
.setSubject("system")
.setIssuer("shenniu003")
.setAudience("custom")
.compressWith(CompressionCodecs.GZIP)
.signWith(SignatureAlgorithm.HS256, "your_secret_key") // 使用HS256哈希算法和密钥签名
.compact(); // 生成最终的JWT字符串
```
4. **验证Token**：
在客户端发送请求时，服务端会检查接收到的JWT是否有效，包括签名是否正确、过期时间是否已到等。这通常涉及到解析JWT、验证签名和解密载荷的过程。
5. **获取Token信息**：
一旦验证通过，服务端可以从JWT中获取用户信息，这些信息可以用于进一步的授权和权限控制。
6. **Spring Boot集成**：
Spring Boot提供了一种简单的方式来集成JWT，如使用`@RestControllerAdvice`自定义全局异常处理，处理未授权或无效Token的情况，并通过`@AuthenticationPrincipal`注解获取当前登录用户的JWT信息。
7. **安全性与最佳实践**：
- 使用HTTPS保护通信，防止中间人攻击。
- 对密钥进行管理，定期更换并确保只有安全的环境知道。
- 适当设置JWT的生命周期，如过期时间（TTL）。
通过本文提供的指南，开发者能够理解和实践如何在Spring Boot应用中有效地使用JWT进行API的token认证，提高系统的安全性和可扩展性。
spring boot+jwt实现实现api的的token认证详解认证详解
主要给大家介绍了关于spring boot+jwt实现api的token认证的相关资料，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随
着小编来一学习学习吧
前言前言
本篇和大家分享jwt(json web token)的使用，她主要用来生成接口访问的token和验证，其单独结合springboot来开发api接口token验证很是方便，由于jwt的token中存储有用户的信息并且有加密，所以适
用于分布式，这样直接吧信息存储在用户本地减速了服务端存储sessiion或token的压力；
如下快速使用：如下快速使用：
<!--jwt-->
<dependency>
<groupId>io.jsonwebtoken</groupId>
<artifactId>jjwt</artifactId>
<version>0.9.0</version>
</dependency>
<!--阿里 FastJson依赖-->
<dependency>
<groupId>com.alibaba</groupId>
<artifactId>fastjson</artifactId>
<version>1.2.44</version>
</dependency>
一般使用jwt来达到3种结果：
生成token
验证token是否有效
获取token中jwt信息（主要用户信息）
生成生成token
引入了jjwt依赖后，要生成token很方便；对于一个token来说，代表的是唯一并且不可逆的，因此我们在生成时需要增加一些唯一数据进去，比如下面的id：
long currentTime = System.currentTimeMillis();
return Jwts.builder()
.setId(UUID.randomUUID().toString())
.setIssuedAt(new Date(currentTime)) //签发时间
.setSubject("system") //说明
.setIssuer("shenniu003") //签发者信息
.setAudience("custom") //接收用户
.compressWith(CompressionCodecs.GZIP) //数据压缩方式
.signWith(SignatureAlgorithm.HS256, encryKey) //加密方式
.setExpiration(new Date(currentTime + secondTimeOut * 1000)) //过期时间戳
.addClaims(claimMaps) //cla信息
.compact();
通过uuid来标记唯一id信息；当然在对token加密时需要用到秘钥，jwt很是方便她支持了很多中加密方式如：HS256，HS265，Md5等复杂及常用的加密方式；
jwt生成的token中内容分为3个部分：head信息，payload信息，sign信息，通常我们要做的是往payload增加一些用户信息（比如：账号，昵称，权限等，但不包含密码）；在对jwt的token有一定了解
后，我们来看下真实生成的token值：
eyJhbGciOiJIUzI1NiIsInppcCI6IkdaSVAifQ.H4sIAAAAAAAAAFWMTQ7CIBSE7_LWkPDzaEsP4QnYINCIptX4INE0vbtg4sLlfPPN7HAtGWbwg1BKL4GrcbEcIwpujZF8iiEpjXFapAAG2ReYpUEcR2VxYED13Nb0ppLW3hP1eEnblqsQuiFfY0OhUrl3I70evweU_aFSejZhd7DlcDv5NTmYHUilHTD3rf_hAccHRTv--7YAAAA.i4xwoQtaWI0-dwHWN8uZ4DBm-vfli5bavYU9lRYxU5E
验证验证token是否有效是否有效
token生成的时都会伴随者有一个失效的时间，在这我们可以通过setExpiration函数设置过期时间，记住jwt的有效时间不是滑动的，也就是说不做任何处理时，当到达第一次设置的失效时间时，就基本没
用了，要获取token是否过期可以使用如下方式：
public static boolean isExpiration(String token, String encryKey) {
try {
return getClaimsBody(token, encryKey)
.getExpiration()
.before(new Date());
} catch (ExpiredJwtException ex) {
return true;
}
}
这里使用了date的before来用获取的过期时间和当前时间对比，判断是否继续有效，需要注意的是如果在token失效后再通过getClaimsBody(token, encryKey)获取信息，此时会报ExpiredJwtException错
误，我们即可认为过期。
获取获取token中中jwt信息（主要用户信息）信息（主要用户信息）
通常我们要把登录用户信息存储在jwt生成的token中，这里可以通过 addClaims(claimMaps) 传递map来设置信息，反过来要获取token中的用户信息，我们需要这样做：
return Jwts.parser()
.setSigningKey(encryKey)
.parseClaimsJws(token)
.getBody();
此时body获取出来是Claims类型，我们需要从中获取到用户信息，需要注意的是在addClaims存储信息的时候如果存储的map值没做过出来，那完整的实体对象存储进去后会映射成一个LinkHasMap类
型，如下：
因此通常会在存储的时候json化，如下代码：
claimMaps.forEach((key, val) -> {
claimMaps.put(key, JSON.toJSONString(val));
});
再来就是通过get方法获取我们存储进去的信息，并json反序列化：
/**
* 获取body某个值
*
* @param token
* @param encryKey
* @param key
* @return
*/
public static Object getVal(String token, String encryKey, String key) {
return getJws(token, encryKey).getBody().get(key);
}
/**
* 获取body某个值，json字符转实体
*
* @param token
下载后可阅读完整内容，剩余3页未读，立即下载
2018-04-04 上传
2019-05-14 上传
2020-08-25 上传
点击了解资源详情
2019-05-31 上传
2020-08-25 上传
2020-08-25 上传
2024-01-16 上传
2021-03-27 上传
weixin_38514805
- 粉丝: 9
- 资源: 932
我的内容管理
展开
