Java JWT原理及工作流程
引言
在當代 Web 應用與 API 開發(fā)里，用戶認證和授權無疑是極為關鍵的環(huán)節(jié)。JSON Web Token（JWT）作為一種輕量級的身份驗證機制，憑借其簡潔性、可擴展性以及跨域支持等顯著優(yōu)勢，在眾多前后端分離項目中得到了廣泛應用。本文將全面深入地探討 JWT 的原理、工作流程，并且結合 Java 代碼示例，展示如何在一個簡單的登錄系統(tǒng)中運用 JWT 進行認證。
一、JWT 概述
1. 什么是 JWT
JWT 是一種用于在網(wǎng)絡應用間安全傳遞聲明的開放標準（RFC 7519）。它通常由三部分構成：頭部（Header）、載荷（Payload）和簽名（Signature），并以 . 分隔，形成類似 xxxxx.yyyyy.zzzzz 的字符串。
2. JWT 的結構
頭部（Header）：通常包含兩部分信息，令牌的類型（通常是 JWT）和使用的簽名算法，如 HMAC SHA256 或 RSA。它是一個 JSON 對象，經(jīng)過 Base64Url 編碼后形成 JWT 的第一部分。
{
"alg": "HS256",
"typ": "JWT"
}載荷（Payload）：包含聲明（Claims），聲明是關于實體（通常是用戶）和其他數(shù)據(jù)的聲明。聲明分為三種類型：注冊聲明、公開聲明和私有聲明。注冊聲明是一些預定義的聲明，如 iss（發(fā)行人）、sub（主題）、aud（受眾）等。載荷也是一個 JSON 對象，經(jīng)過 Base64Url 編碼后形成 JWT 的第二部分。
{
"sub": "1234567890",
"name": "John Doe",
"iat": 1516239022
}簽名（Signature）：為了創(chuàng)建簽名部分，需要使用編碼后的頭部、編碼后的載荷、一個密鑰（secret）和頭部中指定的簽名算法。簽名用于驗證消息在傳遞過程中沒有被更改，并且在使用私鑰簽名的情況下，還可以驗證 JWT 的發(fā)送者的身份。
3. JWT 的優(yōu)點
- 無狀態(tài)：JWT 是無狀態(tài)的，服務器不需要存儲會話信息，因此可以很容易地擴展到多個服務器或微服務架構中。
- 跨域支持：由于 JWT 可以通過 HTTP 頭部或 URL 參數(shù)傳遞，因此可以在不同的域之間安全地使用。
- 可擴展性：可以在載荷中添加自定義聲明，以滿足不同的業(yè)務需求。
二、JWT 工作流程
1. 用戶登錄
用戶向服務器發(fā)送登錄請求，提供用戶名和密碼。
2. 服務器驗證
服務器驗證用戶的用戶名和密碼，如果驗證成功，服務器根據(jù)用戶信息生成一個 JWT。
3. 返回 JWT
服務器將生成的 JWT 返回給客戶端。
4. 客戶端存儲
客戶端接收到 JWT 后，將其存儲在本地，通常是在瀏覽器的 localStorage 或 sessionStorage 中。
5. 后續(xù)請求
在后續(xù)的請求中，客戶端將 JWT 包含在請求的頭部（通常是 Authorization 頭部）中發(fā)送給服務器。
6. 服務器驗證 JWT
服務器接收到請求后，驗證 JWT 的簽名和有效期。如果驗證成功，服務器認為用戶是合法的，并處理請求。
三、代碼示例：使用 JWT 實現(xiàn)登錄認證
1. 項目環(huán)境
我們使用 Java 和 Spring Boot 框架來實現(xiàn)一個簡單的登錄系統(tǒng)，并使用 io.jsonwebtoken 庫來處理 JWT。
2. 引入依賴
在 pom.xml 中添加以下依賴：
<dependencies>
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-web</artifactId>
</dependency>
<dependency>
<groupId>io.jsonwebtoken</groupId>
<artifactId>jjwt-api</artifactId>
<version>0.11.5</version>
</dependency>
<dependency>
<groupId>io.jsonwebtoken</groupId>
<artifactId>jjwt-impl</artifactId>
<version>0.11.5</version>
<scope>runtime</scope>
</dependency>
<dependency>
<groupId>io.jsonwebtoken</groupId>
<artifactId>jjwt-jackson</artifactId>
<version>0.11.5</version>
<scope>runtime</scope>
</dependency>
</dependencies>3. 代碼實現(xiàn)
import io.jsonwebtoken.Claims;
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;
import org.springframework.web.bind.annotation.*;
import java.util.Date;
import java.util.HashMap;
import java.util.Map;
@RestController
@RequestMapping("/api")
public class AuthController {
// 密鑰，用于簽名和驗證 JWT
private static final String SECRET_KEY = "your_secret_key";
// 有效期，設置為 30 分鐘
private static final long EXPIRATION_TIME = 30 * 60 * 1000;
// 模擬用戶數(shù)據(jù)庫
private static final Map<String, String> users = new HashMap<>();
static {
users.put("user1", "password1");
users.put("user2", "password2");
}
// 生成 JWT
private String generateToken(String username) {
Date now = new Date();
Date expiration = new Date(now.getTime() + EXPIRATION_TIME);
return Jwts.builder()
.setSubject(username)
.setIssuedAt(now)
.setExpiration(expiration)
.signWith(SignatureAlgorithm.HS256, SECRET_KEY)
.compact();
}
// 驗證 JWT
private Claims validateToken(String token) {
try {
return Jwts.parser()
.setSigningKey(SECRET_KEY)
.parseClaimsJws(token)
.getBody();
} catch (Exception e) {
return null;
}
}
// 登錄接口
@PostMapping("/login")
public String login(@RequestBody Map<String, String> credentials) {
String username = credentials.get("username");
String password = credentials.get("password");
if (users.containsKey(username) && users.get(username).equals(password)) {
return generateToken(username);
}
return "Invalid credentials";
}
// 受保護的接口
@GetMapping("/protected")
public String protectedResource(@RequestHeader("Authorization") String token) {
if (token == null ||!token.startsWith("Bearer ")) {
return "Token is missing";
}
token = token.substring(7);
Claims claims = validateToken(token);
if (claims != null) {
return "Welcome, " + claims.getSubject();
}
return "Invalid token";
}
}4. 代碼解釋
generateToken方法：根據(jù)用戶的用戶名生成一個 JWT，包含用戶名、簽發(fā)時間和有效期。validateToken方法：驗證 JWT 的簽名和有效期，如果驗證成功，返回載荷信息。/login接口：處理用戶的登錄請求，驗證用戶名和密碼，如果驗證成功，生成并返回 JWT。/protected接口：受保護的接口，需要在請求頭部中包含有效的 JWT 才能訪問。
5. 測試
你可以使用 Postman 或者其他工具來測試接口：
- 登錄請求：
發(fā)送一個 POST 請求到 http://localhost:8080/api/login，請求體為 {"username": "user1", "password": "password1"}。
- 受保護的請求：
發(fā)送一個 GET 請求到 http://localhost:8080/api/protected，并在請求頭中添加 Authorization: Bearer <your_token>。
四、JWT 的安全注意事項
- 密鑰安全：密鑰是 JWT 簽名和驗證的關鍵，必須妥善保管，避免泄露。
- 有效期設置：合理設置 JWT 的有效期，避免過長的有效期導致安全風險。
- 防止重放攻擊：可以使用一次性令牌或添加時間戳等方式來防止重放攻擊。
五、總結
JWT 是一種簡單而強大的身份驗證機制，適用于各種前后端分離的項目。通過本文的介紹，你應該對 JWT 的原理、工作流程和使用方法有了更深入的了解。在實際開發(fā)中，要注意 JWT 的安全問題，確保系統(tǒng)的安全性。希望本文能幫助你在項目中成功應用 JWT 進行登錄認證。
到此這篇關于Java JWT詳細講解的文章就介紹到這了,更多相關Java JWT內(nèi)容請搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關文章希望大家以后多多支持腳本之家！
相關文章
這篇文章主要介紹了Java類成員訪問權限控制知識總結,文中通過示例代碼介紹的非常詳細，對大家的學習或者工作具有一定的參考學習價值,需要的朋友可以參考下2020-04-04
IDEA快速搭建Java開發(fā)環(huán)境的教程圖解
這篇文章主要介紹了IDEA如何快速搭建Java開發(fā)環(huán)境，本文通過圖文并茂的形式給大家介紹的非常詳細，具有一定的參考借鑒價值,需要的朋友可以參考下2019-11-11
這篇文章主要介紹了Java基于Tcp協(xié)議的socket編程實例,較為詳細的分析了socket編程客戶端與服務器端的具體實現(xiàn)步驟與使用技巧,具有一定的參考借鑒價值,需要的朋友可以參考下2014-12-12
這篇文章主要介紹了Java8 Collectors求和功能的自定義擴展操作，具有很好的參考價值，希望對大家有所幫助。一起跟隨小編過來看看吧2021-02-02
Java報錯輸出的信息主要包括異常的主要描述信息和當前線程的棧幀信息,棧幀是虛擬機棧的基本存儲單元,主要由局部變量表、操作數(shù)棧和幀數(shù)據(jù)三部分組成,局部變量表用于存放方法的參數(shù)和局部變量,操作數(shù)棧用于保存計算過程中產(chǎn)生的中間結果2024-12-12
本文主要介紹了深入解析SpringBoot中#{}和${}的使用,文中通過示例代碼介紹的非常詳細,對大家的學習或者工作具有一定的參考學習價值,需要的朋友們下面隨著小編來一起學習學習吧2025-04-04
這篇文章主要介紹了Java基本數(shù)據(jù)類型包裝類原理解析,文中通過示例代碼介紹的非常詳細，對大家的學習或者工作具有一定的參考學習價值,需要的朋友可以參考下2020-05-05
這篇文章主要介紹了java應用開發(fā)之JVM運行時內(nèi)存，文中附含圖文示例內(nèi)容分析非常簡要，有需要的朋友可以借鑒參考下，希望能夠有所幫助2021-09-09
在springboot中攔截器Filter中注入bean失敗問題及解決
這篇文章主要介紹了在springboot中攔截器Filter中注入bean失敗問題及解決方案,具有很好的參考價值,希望對大家有所幫助,如有錯誤或未考慮完全的地方,望不吝賜教2024-05-05
SpringBoot中如何統(tǒng)一接口返回與全局異常處理詳解
全局異常處理是個比較重要的功能,一般在項目里都會用到,這篇文章主要給大家介紹了關于SpringBoot中如何統(tǒng)一接口返回與全局異常處理的相關資料,文中通過示例代碼介紹的非常詳細,需要的朋友可以參考下2021-09-09