JWT令牌在项目中的实战操作

一.什么是JWT令牌？

JWT，全称JSON Web Token，官网（https://jwt.io/），定义了一种间接的，自包含的格式，用于在通信双方以json数据格式安全的传输信息。由于数字签名的存在，这些信息是可靠的。

通俗来讲，我们可以通过JWT令牌来实现对于用户登录权限的校验以此达到安全性。

二.JWT令牌的组成：

• 第一部分：Header（头），记录令牌类型以及签名算法等。eg:{"alg"="HS256","type"="JWT"}
• 第二部分：Payload（有效载荷），携带一些自定义信息以及默认信息等。eg:{"id":"1","username"="Tom"}
• 第三部分：Signature（签名），防止Token被篡改，确保安全性。将header，payload，并加入指定秘钥，通过指定签名算法计算而来。（可以用Base64编码解码工具来解析第一第二部分，第三部分不能解析，因为第三部分是根据数字签名后的结果）

三.JWT令牌操作流程：

首先在浏览器发起请求执行登录操作，此时访问登录接口，若登录成功后会生成一个JWT令牌，并将生成的JWT令牌返回给前端，前端拿到JWT令牌会将其储存起来，后序每一次的请求都会将这个JWT令牌携带到服务端，而服务端则会进行统一拦截，拦截到这个请求会判断是否携带JWT令牌，若没有携带过来则拒绝访问，若携带过来则判断JWT令牌是否有效，如果JWT令牌有效，统一拦截器就会放行，以此来进行请求对应接口的处理。 

 总结来看就是两步骤： ①生成JWT令牌     ②校验JWT令牌

四.JWT令牌的具体实现：

1.pom.xml配置文件引入依赖：

<dependency><groupId>io.jsonwebtoken</groupId><artifactId>jjwt</artifactId><version>0.9.1</version>
</dependency>

通过此操作，可以导入依赖内的Jwts工具类。

2.JWT令牌的生成与解析：

（1）下面代码是在SpringBoot测试类中生成JWT令牌的步骤：

@SpringBootTest
public class JwtTest {@Testpublic void testCreateJwt(){//定义map集合来封装自定义数据Map<String,Object> claims = new HashMap<>();claims.put("id","1");claims.put("username","Tom");//创建JWT令牌String jwt = Jwts.builder().signWith(SignatureAlgorithm.HS256,"秘钥") //指定数字签名的算法 , 秘钥.setClaims(claims)  //设置自定义数据.setExpiration(new Date(System.currentTimeMillis() + 3600 * 1000))  //设置JWT令牌有效期 -> 1h.compact();  //拿到一个字符串类型的JWT令牌//输出JWT令牌System.out.println(jwt);}
}

（2）下面代码是在SpringBoot测试类中解析JWT令牌的步骤：

@SpringBootTest
public class JwtTest {@Testpublic void testParseJwt(){Claims claims = Jwts.parser().setSigningKey("秘钥")  //给予前面自己生成JWT令牌所设置的签名秘钥才可以解析JWT令牌.parseClaimsJws("Jwt令牌字符串")  //Jwt令牌字符串.getBody();  //拿到第二部分内容//输出解析的Jwt令牌内容System.out.println(claims);//{name=tom, id=1, exp=1670467224}}
}

我们需要注意解析Jwt令牌需要使用相同的签名秘钥以及要在有效时间内才可以解析，若JWT令牌解析校验时候出错，则说明JWT令牌被篡改或失效了，令牌非法。

五.JWT令牌在项目中的具体实现操作：

1.导入JwtUtil工具类：

在utils包下导入：

public class JwtUtil {public static String createJWT(String secretKey, long ttlMillis, Map<String, Object> claims) {// 指定签名的时候使用的签名算法，也就是header那部分SignatureAlgorithm signatureAlgorithm = SignatureAlgorithm.HS256;// 生成JWT的时间long expMillis = System.currentTimeMillis() + ttlMillis;Date exp = new Date(expMillis);// 设置jwt的bodyJwtBuilder builder = Jwts.builder()// 如果有私有声明，一定要先设置这个自己创建的私有的声明，这个是给builder的claim赋值，一旦写在标准的声明赋值之后，就是覆盖了那些标准的声明的.setClaims(claims)// 设置签名使用的签名算法和签名使用的秘钥.signWith(signatureAlgorithm, secretKey.getBytes(StandardCharsets.UTF_8))// 设置过期时间.setExpiration(exp);return builder.compact();}public static Claims parseJWT(String secretKey, String token) {// 得到DefaultJwtParserClaims claims = Jwts.parser()// 设置签名的秘钥.setSigningKey(secretKey.getBytes(StandardCharsets.UTF_8))// 设置需要解析的jwt.parseClaimsJws(token).getBody();return claims;}}

这个工具类仔细对比上面所讲解的JWT令牌的生成与解析其实是一样的，只不过有变量的值需要我们调用方法传参过来。

2.在application.yml文件配置相关信息：

sky:jwt:# 设置jwt签名加密时使用的秘钥admin-secret-key: itcast# 设置jwt过期时间admin-ttl: 7200000# 设置前端传递过来的令牌名称admin-token-name: token

3.在properties包下创建JWT令牌的配置属性类来封装配置文件的配置项：

（这里开启了驼峰，所以可以忽略两文件的属性名不同）

@Component
@ConfigurationProperties(prefix = "sky.jwt")
@Data
public class JwtProperties {/*** 管理端员工生成jwt令牌相关配置*/private String adminSecretKey;private long adminTtl;private String adminTokenName;
}

4.在登录接口使用JWT令牌操作：

@RestController
@RequestMapping("/admin/employee")
@Slf4j
@Api(tags = "员工相关接口")
public class EmployeeController {@Autowiredprivate EmployeeService employeeService;@Autowiredprivate JwtProperties jwtProperties;@PostMapping("/login")@ApiOperation(value = "员工登录")public Result<EmployeeLoginVO> login(@RequestBody EmployeeLoginDTO employeeLoginDTO) {log.info("员工登录：{}", employeeLoginDTO);//根据前端请求的数据在数据库中查询账号是否存在Employee employee = employeeService.login(employeeLoginDTO);//判断是否登录成功,若失败则抛出异常if(employee == null){throw new LoginFailedException(MessageConstant.LOGIN_FAILED);}//登录成功后，生成jwt令牌Map<String, Object> claims = new HashMap<>();claims.put("EmpId", employee.getId());String token = JwtUtil.createJWT(jwtProperties.getAdminSecretKey(),jwtProperties.getAdminTtl(),claims);//将token等信息封装并返回给前端//这里EmployeeLoginVO类上加了@Builder注解，所以可以通过调用builder().属性(属性值).build()来创建类对象EmployeeLoginVO employeeLoginVO = EmployeeLoginVO.builder().id(employee.getId()).userName(employee.getUsername()).name(employee.getName()).token(token).build();return Result.success(employeeLoginVO);}
}

5.JWT令牌的拦截器：

我们前面在登录接口生成了JWT令牌，所以我们需要再其他接口开校验JWT令牌的合法性。

若成功直接放行return true，若失败则响应401状态码并return false。

@Component
@Slf4j
public class JwtTokenAdminInterceptor implements HandlerInterceptor {@Autowiredprivate JwtProperties jwtProperties;//此方法会在方法执行前执行public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {System.out.println("当前线程的id：" + Thread.currentThread().getId());//判断当前拦截到的是Controller的方法还是其他资源if (!(handler instanceof HandlerMethod)) {//当前拦截到的不是动态方法，直接放行return true;}//1、从请求头中获取令牌String token = request.getHeader(jwtProperties.getAdminTokenName());//2、校验令牌try {log.info("jwt校验:{}", token);//解析并获取JWT令牌第二部分内容Claims claims = JwtUtil.parseJWT(jwtProperties.getAdminSecretKey(), token);//获取JWT令牌第二部分的id值Long empId = Long.valueOf(claims.get(JwtClaimsConstant.EMP_ID).toString());log.info("当前员工的id：{}", empId);//利用线程记录id值（后面再获取数据库中自增的id加的代码）BaseContext.setCurrentId(empId);//3、通过，放行return true;} catch (Exception ex) {//4、不通过，响应401状态码response.setStatus(401);return false;}}
}

好了，JWT令牌的使用就到这里了，记得三连支持，感谢收看！！！