• 了解什么是JWT的原理及实际应用

    目录

    一、介绍&讲述

    ( 1 )  什么是JWT

    ( 2 )  为什么要学 

    二、结构

    三、Jwt的工具类的使用

    1. 依赖

    2. 工具类

    3. 过滤器

    4. 控制器

    5.  配置

    6. 测试类

    用于生成JWT 

    解析Jwt

    复制jwt，并延时30分钟

    测试JWT的有效时间

    测试过期JWT的解析

    四、应用

    一、介绍&讲述

    ( 1 )  什么是JWT

    JWT（JSON Web Token）是一种用于身份验证的开放标准，它是在前后端分离项目中常用的身份验证方式之一。它由三部分组成：头部、载荷和签名。其中，头部包含加密算法和类型信息，载荷包含用户信息、权限等数据，签名则是对头部和载荷的加密结果。

    1. 头部（Header）：头部通常由两部分组成，加密算法和类型信息。加密算法指定了如何对JWT进行签名，常用的算法有HMAC、RSA和ECDSA等。类型信息通常是"JWT"。

    2. 载荷（Payload）：载荷是JWT的主要部分，包含了需要传递的用户信息、权限、角色等数据。载荷是一个JSON对象，可以自定义存储所需的信息。常用的标准声明有iss（签发者）、sub（主题）、exp（过期时间）等。

    3. 签名（Signature）：签名是对头部和载荷进行加密生成的结果。签名使用头部中指定的加密算法和密钥，确保JWT的完整性和真实性。服务器端在接收到JWT后，可以使用相同的密钥对JWT进行解密和验证。

    JWT的使用流程如下：

    1. 用户在登录时，将用户名和密码发送给后端。

    2. 后端验证用户名和密码，如果验证通过，则生成一个JWT并将其返回给前端。

    3. 前端将JWT保存在本地，一般使用浏览器的本地存储（localStorage或sessionStorage）或者HTTP Only的Cookie。

    4. 当前端需要访问需要身份验证的资源时，将JWT添加到请求头中发送给后端。

    5. 后端验证JWT的合法性，包括验证签名、有效期等。如果验证通过，则返回请求的资源。

    JWT的工作原理可以简单概括为：认证、签发和验证。

    • 1. 认证（Authentication）：用户在登录时提供有效的用户名和密码进行认证。服务器验证用户的身份，并生成一个JWT作为用户的身份凭证。
    • 2. 签发（Issuance）：服务器根据用户的身份信息和其他相关信息（如角色、权限等）生成一个JWT，并使用密钥对JWT进行签名。签名是为了确保JWT的完整性和真实性，防止被篡改。
    • 3. 验证（Verification）：用户在后续的请求中将JWT作为身份凭证发送给服务器。服务器收到请求后，会验证JWT的签名和有效期。如果验证通过，服务器会根据JWT中的信息判断用户的身份和权限，然后返回相应的资源或执行相应的操作。

    具体的工作流程如下：

    1. 用户在登录时提供用户名和密码进行认证。

    2. 服务器验证用户的身份，并生成一个JWT。JWT由三部分组成：头部（Header）、载荷（Payload）和签名（Signature）。

       - 头部：包含了JWT的类型（typ）和签名算法（alg）等信息。
       - 载荷：包含了用户的身份信息和其他相关信息，如用户ID、角色、权限等。载荷还可以包含一些自定义的信息，如过期时间（exp）等。
       - 签名：通过将头部、载荷和服务器的密钥进行加密生成的签名，用于验证JWT的完整性和真实性。

    3. 服务器将生成的JWT返回给用户。

    4. 用户在后续的请求中将JWT作为身份凭证添加到请求头中发送给服务器。通常，JWT放在Authorization头部的Bearer字段中，如：Authorization: Bearer 。

    5. 服务器收到请求后，解析JWT并验证其签名和有效期。如果验证通过，服务器可以根据JWT中的信息判断用户的身份和权限，并返回相应的资源或执行相应的操作。

    注意 : JWT是无状态的，服务器不需要保存任何状态信息。每次请求都包含了身份验证信息，服务器可以通过验证JWT的签名和有效期来确认用户的身份。这样可以减少服务器的负担，并且适用于分布式系统和高并发环境。

    ( 2 )  为什么要学 

    1. 无状态的身份验证：传统的session认证方式需要在服务器端存储和管理session信息，而JWT是无状态的，服务器不需要保存任何状态信息。每个请求都包含了身份验证信息，服务器可以通过验证JWT的签名和有效期来确认用户的身份。这样可以减少服务器的负担，并且适用于分布式系统和高并发环境。

    2. 跨平台和跨语言：JWT基于标准的JSON格式，可以在不同的平台和语言之间进行传递和解析。无论是使用Java、Python、Node.js还是其他语言，都可以轻松地处理JWT。使得前后端分离的项目更加灵活和可扩展。

    3. 安全性：JWT使用签名验证数据的完整性，防止数据被篡改。服务器使用密钥对JWT进行签名，当客户端发送JWT时，服务器可以验证签名的有效性，确保数据的真实性和完整性。同时，JWT可以进行加密，保护用户信息的安全性。这样可以提供更高的安全性，防止恶意攻击和数据泄露。

    4. 减少服务器负担：传统的session认证方式需要在服务器端存储和管理session信息，而JWT在客户端保存，减轻了服务器的负担。服务器不需要在内存中保存session信息，也不需要查询数据库来验证用户的身份。

    5. 可扩展性：JWT的载荷中可以存储用户的自定义信息，如权限、角色等。这使得JWT在应对复杂的授权需求时更加灵活和可扩展。

    6. 前后端分离：JWT适用于前后端分离的项目，前端可以将JWT保存在本地，如浏览器的本地存储（localStorage或sessionStorage）或者HTTP Only的Cookie中。每次请求时，前端将JWT添加到请求头中发送给后端，后端可以验证JWT的合法性，并返回相应的资源。这种方式使得前后端的开发和维护可以独立进行，提高了开发效率和灵活性。

    总的来说，JWT具有更好的可扩展性、安全性和跨平台性，适用于前后端分离的项目。

    JWT是一种简单、安全、可靠的身份验证方式，适用于前后端分离的项目。它通过将用户信息和权限等数据存储在JWT中，实现了无状态的身份验证，并提供了数据完整性和安全性的保障。

    二、结构

    JWT（JSON Web Token）是一种用于在网络上安全传输信息的开放标准（RFC 7519）。它由三部分组成：头部（Header）、载荷（Payload）和签名（Signature）。

    1. 头部（Header）：JWT的头部是一个JSON对象，用于描述JWT的元数据，例如令牌的类型（typ）和签名算法（alg）。通常情况下，头部会包含以下信息：

    1.    {
    2.      "alg": "HS256",
    3.      "typ": "JWT"
    4.    }

       - alg：指定签名算法，常见的有HMAC SHA256（HS256）和RSA SHA256（RS256）等。
       - typ：指定令牌的类型，一般为JWT。

       头部需要经过Base64编码后作为JWT的第一部分。

    2. 载荷（Payload）：JWT的载荷是存储实际数据的部分，也是一个JSON对象。它包含了一些声明（claims），用于描述令牌的信息。常见的声明有：

       - iss（Issuer）：令牌的发行者。
       - sub（Subject）：令牌所面向的用户。
       - aud（Audience）：令牌的接收者。
       - exp（Expiration Time）：令牌的过期时间。
       - nbf（Not Before）：令牌的生效时间。
       - iat（Issued At）：令牌的发行时间。
       - jti（JWT ID）：令牌的唯一标识符。

       示例：

    1.    {
    2.      "sub": "1234567890",
    3.      "name": "John Doe",
    4.      "admin": true
    5.    }

       载荷也需要经过Base64编码后作为JWT的第二部分。

    3. 签名（Signature）：JWT的签名是由头部、载荷和密钥组成的字符串，用于验证JWT的完整性和真实性。签名的生成方式取决于指定的签名算法。

       - 对于HMAC SHA256，签名的生成方式为：HMACSHA256(base64UrlEncode(header) + "." + base64UrlEncode(payload), secret)。
       - 对于RSA SHA256，签名的生成方式为：RSASHA256(base64UrlEncode(header) + "." + base64UrlEncode(payload), privateKey)。

       生成的签名将作为JWT的第三部分。

    最终，将经过Base64编码的头部、载荷和签名用点号连接起来，形成最终的JWT：

    base64UrlEncode(header) + "." + base64UrlEncode(payload) + "." + signature

    JWT的结构示例：
    eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c
     

    需要注意的是，JWT中的信息是经过Base64编码的，虽然可以通过Base64解码获取原始内容，但是不能修改JWT中的内容，因为签名会验证JWT的完整性和真实性。

    三、Jwt的工具类的使用

    1. 依赖

    在后端项目中导入依赖:

    在properties配置标签中 

    1. <jwt.version>0.9.1jwt.version>
    2. <java.jwt.version>3.4.0java.jwt.version>

    在dependencies配置标签中 

    1. <dependency>
    2.   <groupId>io.jsonwebtokengroupId>
    3.   <artifactId>jjwtartifactId>
    4.   <version>${jwt.version}version>
    5. dependency>
    6. <dependency>
    7.   <groupId>com.auth0groupId>
    8.   <artifactId>java-jwtartifactId>
    9.   <version>${java.jwt.version}version>
    10. dependency>

    2. 工具类

    在后台创建工具类 : CorsFilter

    1. package com.CloudJun.ssm.util;
    2.  
    3. import java.io.IOException;
    4.  
    5. import javax.servlet.Filter;
    6. import javax.servlet.FilterChain;
    7. import javax.servlet.FilterConfig;
    8. import javax.servlet.ServletException;
    9. import javax.servlet.ServletRequest;
    10. import javax.servlet.ServletResponse;
    11. import javax.servlet.http.HttpServletRequest;
    12. import javax.servlet.http.HttpServletResponse;
    13.  
    14. /**
    15.  * 配置tomcat允许跨域访问
    16.  * 
    17.  * @author Administrator
    18.  *
    19.  */
    20. public class CorsFilter implements Filter {
    21. 	@Override
    22. 	public void init(FilterConfig filterConfig) throws ServletException {
    23. 	}
    24. 	@Override
    25. 	public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain)
    26. 			throws IOException, ServletException {
    27. 		HttpServletResponse httpResponse = (HttpServletResponse) servletResponse;
    28. 		HttpServletRequest req = (HttpServletRequest) servletRequest;
    29. 		// Access-Control-Allow-Origin就是我们需要设置的域名
    30. 		// Access-Control-Allow-Headers跨域允许包含的头。
    31. 		// Access-Control-Allow-Methods是允许的请求方式
    32. 		httpResponse.setHeader("Access-Control-Allow-Origin", "*");// *,任何域名
    33. 		httpResponse.setHeader("Access-Control-Allow-Methods", "POST, GET, PUT, DELETE");
    34. 		
    35. 		//允许客户端发一个新的请求头jwt
    36. 		httpResponse.setHeader("Access-Control-Allow-Headers","responseType,Origin,X-Requested-With, Content-Type, Accept, jwt");
    37. 		//允许客户端处理一个新的响应头jwt
    38. 		httpResponse.setHeader("Access-Control-Expose-Headers", "jwt,Content-Disposition");
    39. 		
    40. 		//httpResponse.setHeader("Access-Control-Allow-Headers", "Origin, X-Requested-With, Content-Type, Accept");
    41. 		//httpResponse.setHeader("Access-Control-Allow-Methods", "POST, GET, PUT, DELETE");
    42. 		
    43. 		// axios的ajax会发两次请求，第一次提交方式为：option，直接返回即可
    44. 		if ("OPTIONS".equals(req.getMethod())) {
    45. 			return;
    46. 		}
    47. 		filterChain.doFilter(servletRequest, servletResponse);
    48. 	}
    49. 	@Override
    50. 	public void destroy() {
    51.  
    52. 	}
    53. }

    3. 过滤器

    在后台创建过滤器 : JwtFilter  &  JwtUtils

    JwtFilter : 

    1. package com.CloudJun.ssm.jwt;
    2.  
    3. import java.io.IOException;
    4. import java.util.regex.Matcher;
    5. import java.util.regex.Pattern;
    6.  
    7. import javax.servlet.Filter;
    8. import javax.servlet.FilterChain;
    9. import javax.servlet.FilterConfig;
    10. import javax.servlet.ServletException;
    11. import javax.servlet.ServletRequest;
    12. import javax.servlet.ServletResponse;
    13. import javax.servlet.http.HttpServletRequest;
    14. import javax.servlet.http.HttpServletResponse;
    15.  
    16. import io.jsonwebtoken.Claims;
    17.  
    18. /**
    19.  * * JWT验证过滤器，配置顺序 ：CorsFilter-->JwtFilter-->struts2中央控制器
    20.  * 
    21.  * @author Administrator
    22.  *
    23.  */
    24.  
    25. public class JwtFilter implements Filter {
    26.  
    27. 	// 排除的URL，一般为登陆的URL(请改成自己登陆的URL)
    28. 	private static String EXCLUDE = "^/user/userLogin?.*$";
    29.  
    30. 	private static Pattern PATTERN = Pattern.compile(EXCLUDE);
    31.  
    32. 	private boolean OFF = false;// true关闭jwt令牌验证功能
    33.  
    34. 	@Override
    35. 	public void init(FilterConfig filterConfig) throws ServletException {
    36. 	}
    37.  
    38. 	@Override
    39. 	public void destroy() {
    40. 	}
    41.  
    42. 	@Override
    43. 	public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
    44. 			throws IOException, ServletException {
    45. 		HttpServletRequest req = (HttpServletRequest) request;
    46. 		HttpServletResponse resp = (HttpServletResponse) response;
    47. 		//获取当前请求路径。只有登录的请求路径不进行校验之外，其他的URL请求路径必须进行JWT令牌校验
    48. 		//http://localhost:8080/ssh2/bookAction_queryBookPager.action
    49. 		//req.getServletPath()==/bookAction_queryBookPager.action
    50. 		String path = req.getServletPath();
    51. 		if (OFF || isExcludeUrl(path)) {// 登陆直接放行
    52. 				chain.doFilter(request, response);
    53. 				return;
    54. 		}
    55.  
    56. 		// 从客户端请求头中获得令牌并验证
    57. 		//token=头.载荷.签名
    58. 		String jwt = req.getHeader(JwtUtils.JWT_HEADER_KEY);
    59. 		Claims claims = this.validateJwtToken(jwt);
    60. 		//在这里请各位大哥大姐从JWT令牌中提取payload中的声明部分
    61. 		//从声明部分中获取私有声明
    62. 		//获取私有声明中的User对象 -> Modules
    63. 		Boolean flag=false;
    64. 		if (null == claims) {
    65. 			// resp.setCharacterEncoding("UTF-8");
    66. 			resp.sendError(403, "JWT令牌已过期或已失效");
    67. 			return;
    68. 		} else {
    69. 			
    70. 			//1.获取已经解析后的payload（私有声明）
    71. 			//2.从私有声明中当前用户所对应的权限集合List或者List
    72. 			//3.循环权限(Module[id,url])
    73. 			// OK,放行请求 chain.doFilter(request, response);
    74. 			// NO,发送错误信息的JSON
    75. 			// ObjectMapper mapper=new ObjectMapper()
    76. 			// mapper.writeValue(response.getOutputStream(),json)
    77. 			
    78. 			String newJwt = JwtUtils.copyJwt(jwt, JwtUtils.JWT_WEB_TTL);
    79. 			resp.setHeader(JwtUtils.JWT_HEADER_KEY, newJwt);
    80. 			chain.doFilter(request, response);
    81. 		}
    82. 	}
    83.  
    84. 	/**
    85. 	 * 验证jwt令牌，验证通过返回声明(包括公有和私有)，返回null则表示验证失败
    86. 	 */
    87. 	private Claims validateJwtToken(String jwt) {
    88. 		Claims claims = null;
    89. 		try {
    90. 			if (null != jwt) {
    91. 				//该解析方法会验证：1）是否过期 2）签名是否成功
    92. 				claims = JwtUtils.parseJwt(jwt);
    93. 			}
    94. 		} catch (Exception e) {
    95. 			e.printStackTrace();
    96. 		}
    97. 		return claims;
    98. 	}
    99.  
    100. 	/**
    101. 	 * 是否为排除的URL
    102. 	 * 
    103. 	 * @param path
    104. 	 * @return
    105. 	 */
    106. 	private boolean isExcludeUrl(String path) {
    107. 		Matcher matcher = PATTERN.matcher(path);
    108. 		return matcher.matches();
    109. 	}
    110.  
    111. 	// public static void main(String[] args) {
    112. 	// String path = "/sys/userAction_doLogin.action?username=zs&password=123";
    113. 	// Matcher matcher = PATTERN.matcher(path);
    114. 	// boolean b = matcher.matches();
    115. 	// System.out.println(b);
    116. 	// }
    117.  
    118. }

    JwtUtils : 

    1. package com.CloudJun.ssm.jwt;
    2.  
    3. import java.util.Date;
    4. import java.util.Map;
    5. import java.util.UUID;
    6.  
    7. import javax.crypto.SecretKey;
    8. import javax.crypto.spec.SecretKeySpec;
    9.  
    10. import org.apache.commons.codec.binary.Base64;
    11.  
    12. import io.jsonwebtoken.Claims;
    13. import io.jsonwebtoken.JwtBuilder;
    14. import io.jsonwebtoken.Jwts;
    15. import io.jsonwebtoken.SignatureAlgorithm;
    16.  
    17. /**
    18.  * JWT验证过滤器：配置顺序 CorsFilte->JwtUtilsr-->StrutsPrepareAndExecuteFilter
    19.  *
    20.  */
    21. public class JwtUtils {
    22. 	/**
    23. 	 * JWT_WEB_TTL：WEBAPP应用中token的有效时间,默认30分钟
    24. 	 */
    25. 	public static final long JWT_WEB_TTL = 30 * 60 * 1000;
    26.  
    27. 	/**
    28. 	 * 将jwt令牌保存到header中的key
    29. 	 */
    30. 	public static final String JWT_HEADER_KEY = "jwt";
    31.  
    32. 	// 指定签名的时候使用的签名算法，也就是header那部分，jwt已经将这部分内容封装好了。
    33. 	private static final SignatureAlgorithm SIGNATURE_ALGORITHM = SignatureAlgorithm.HS256;
    34. 	private static final String JWT_SECRET = "f356cdce935c42328ad2001d7e9552a3";// JWT密匙
    35. 	private static final SecretKey JWT_KEY;// 使用JWT密匙生成的加密key
    36.  
    37. 	static {
    38. 		byte[] encodedKey = Base64.decodeBase64(JWT_SECRET);
    39. 		JWT_KEY = new SecretKeySpec(encodedKey, 0, encodedKey.length, "AES");
    40. 	}
    41.  
    42. 	private JwtUtils() {
    43. 	}
    44.  
    45. 	/**
    46. 	 * 解密jwt，获得所有声明(包括标准和私有声明)
    47. 	 * 
    48. 	 * @param jwt
    49. 	 * @return
    50. 	 * @throws Exception
    51. 	 */
    52. 	public static Claims parseJwt(String jwt) {
    53. 		Claims claims = Jwts.parser()
    54. 				.setSigningKey(JWT_KEY)
    55. 				.parseClaimsJws(jwt)
    56. 				.getBody();
    57. 		return claims;
    58. 	}
    59.  
    60. 	/**
    61. 	 * 创建JWT令牌，签发时间为当前时间
    62. 	 * 
    63. 	 * @param claims
    64. 	 *            创建payload的私有声明（根据特定的业务需要添加，如果要拿这个做验证，一般是需要和jwt的接收方提前沟通好验证方式的）
    65. 	 * @param ttlMillis
    66. 	 *            JWT的有效时间(单位毫秒)，当前时间+有效时间=过期时间
    67. 	 * @return jwt令牌
    68. 	 */
    69. 	public static String createJwt(Map claims, 
    70. 			long ttlMillis) {
    71. 		// 生成JWT的时间，即签发时间 2021-10-30 10:02:00 -> 30 10:32:00
    72. 	
    73. 		long nowMillis = System.currentTimeMillis();
    74.  
    75. 		
    76. 		//链式语法：
    77. 		// 下面就是在为payload添加各种标准声明和私有声明了
    78. 		// 这里其实就是new一个JwtBuilder，设置jwt的body
    79. 		JwtBuilder builder = Jwts.builder()
    80. 				// 如果有私有声明，一定要先设置这个自己创建的私有的声明，这个是给builder的claim赋值，一旦写在标准的声明赋值之后，就是覆盖了那些标准的声明的
    81. 				.setClaims(claims)
    82. 				// 设置jti(JWT ID)：是JWT的唯一标识，根据业务需要，这个可以设置为一个不重复的值，主要用来作为一次性token,从而回避重放攻击。
    83. 				// 可以在未登陆前作为身份标识使用
    84. 				.setId(UUID.randomUUID().toString().replace("-", ""))
    85. 				// iss(Issuser)签发者，写死
    86. 				.setIssuer("zking")
    87. 				// iat: jwt的签发时间
    88. 				.setIssuedAt(new Date(nowMillis))
    89. 				// 代表这个JWT的主体，即它的所有人，这个是一个json格式的字符串，可放数据{"uid":"zs"}。此处没放
    90. 				// .setSubject("{}")
    91. 				// 设置签名使用的签名算法和签名使用的秘钥
    92. 				.signWith(SIGNATURE_ALGORITHM, JWT_KEY)
    93. 				// 设置JWT的过期时间
    94. 				.setExpiration(new Date(nowMillis + ttlMillis));
    95.  
    96. 		return builder.compact();
    97. 	}
    98.  
    99. 	/**
    100. 	 * 复制jwt，并重新设置签发时间(为当前时间)和失效时间
    101. 	 * 
    102. 	 * @param jwt
    103. 	 *            被复制的jwt令牌
    104. 	 * @param ttlMillis
    105. 	 *            jwt的有效时间(单位毫秒)，当前时间+有效时间=过期时间
    106. 	 * @return
    107. 	 */
    108. 	public static String copyJwt(String jwt, Long ttlMillis) {
    109. 		//解密JWT，获取所有的声明（私有和标准）
    110. 		//old
    111. 		Claims claims = parseJwt(jwt);
    112.  
    113. 		// 生成JWT的时间，即签发时间
    114. 		long nowMillis = System.currentTimeMillis();
    115.  
    116. 		// 下面就是在为payload添加各种标准声明和私有声明了
    117. 		// 这里其实就是new一个JwtBuilder，设置jwt的body
    118. 		JwtBuilder builder = Jwts.builder()
    119. 				// 如果有私有声明，一定要先设置这个自己创建的私有的声明，这个是给builder的claim赋值，一旦写在标准的声明赋值之后，就是覆盖了那些标准的声明的
    120. 				.setClaims(claims)
    121. 				// 设置jti(JWT ID)：是JWT的唯一标识，根据业务需要，这个可以设置为一个不重复的值，主要用来作为一次性token,从而回避重放攻击。
    122. 				// 可以在未登陆前作为身份标识使用
    123. 				//.setId(UUID.randomUUID().toString().replace("-", ""))
    124. 				// iss(Issuser)签发者，写死
    125. 				// .setIssuer("zking")
    126. 				// iat: jwt的签发时间
    127. 				.setIssuedAt(new Date(nowMillis))
    128. 				// 代表这个JWT的主体，即它的所有人，这个是一个json格式的字符串，可放数据{"uid":"zs"}。此处没放
    129. 				// .setSubject("{}")
    130. 				// 设置签名使用的签名算法和签名使用的秘钥
    131. 				.signWith(SIGNATURE_ALGORITHM, JWT_KEY)
    132. 				// 设置JWT的过期时间
    133. 				.setExpiration(new Date(nowMillis + ttlMillis));
    134. 		return builder.compact();
    135. 	}
    136. }
    137.  
    138.  
    139.  
    140.

    4. 控制器

    在后端的用户登入去请求地址时，编写控制器中的代码 UserController

    1.  @RequestMapping("/userLogin")
    2.     @ResponseBody
    3.     public JsonResponseBody userLogin(UserVo userVo, HttpServletResponse response){
    4.         if(userVo.getUsername().equals("admin")&&userVo.getPassword().equals("123")){
    5.             //私有要求claim
    6.             Map json=new HashMap();
    7.             json.put("username", userVo.getUsername());
    8.             //生成JWT，并设置到response响应头中
    9.             String jwt=JwtUtils.createJwt(json, JwtUtils.JWT_WEB_TTL);
    10.             response.setHeader(JwtUtils.JWT_HEADER_KEY, jwt);
    11.             return new JsonResponseBody<>("用户登陆成功！",true,0,null);
    12.         }else{
    13.             return new JsonResponseBody<>("用户名或密码错误！",false,0,null);
    14.         }
    15.     }

    5.  配置

    在后台项目中 ( Web.xml ) 进行对以上编写的类及过滤器进行配置

    1.   
    2.   <filter>
    3.     <filter-name>corsFilterfilter-name>
    4.     <filter-class>com.CloudJun.ssm.util.CorsFilterfilter-class>
    5.   filter>
    6.   <filter-mapping>
    7.     <filter-name>corsFilterfilter-name>
    8.     <url-pattern>/*url-pattern>
    9.   filter-mapping>
    10.  
    11.   
    12.   <filter>
    13.     <filter-name>jwtFilterfilter-name>
    14.     <filter-class>com.CloudJun.ssm.jwt.JwtFilterfilter-class>
    15.   filter>
    16.   <filter-mapping>
    17.     <filter-name>jwtFilterfilter-name>
    18.     <url-pattern>/*url-pattern>
    19.   filter-mapping>

    6. 测试类

    在对JWT进行测试，创建一个测试类，编写以下方法

    注 : 在测试类中需要增加以下代码 

    private SimpleDateFormat sdf = new SimpleDateFormat("yyyy-MM-dd HH:mm:ss.SSS");

    用于生成JWT 

    测试方法一 : 

    test1() 

    1. 	@Test
    2. 	public void test1() {// 生成JWT
    3. 		//JWT Token=Header.Payload.Signature
    4. 		//头部.载荷.签名
    5. 		//Payload=标准声明+私有声明+公有声明
    6. 		
    7. 		//定义私有声明
    8. 		Map claims = new HashMap();
    9. 		claims.put("username", "zss");
    10. 		claims.put("age", 18);
    11. 		
    12. 	    //TTL:Time To Live
    13. 		String jwt = JwtUtils.createJwt(claims, JwtUtils.JWT_WEB_TTL);
    14. 		System.out.println(jwt);
    15.  
    16. 		//获取Payload（包含标准和私有声明）
    17. 		Claims parseJwt = JwtUtils.parseJwt(jwt);
    18. 		for (Map.Entry entry : parseJwt.entrySet()) {
    19. 			System.out.println(entry.getKey() + "=" + entry.getValue());
    20. 		}
    21. 		Date d1 = parseJwt.getIssuedAt();
    22. 		Date d2 = parseJwt.getExpiration();
    23. 		System.out.println("令牌签发时间：" + sdf.format(d1));
    24. 		System.out.println("令牌过期时间：" + sdf.format(d2));
    25. 	}

    解析Jwt

    测试方法二 : 

    test2()  

    用以上生成的JWT字符串进行解析

    1. 	@Test
    2. 	public void test2() {// 解析oldJwt
    3. 		//io.jsonwebtoken.ExpiredJwtException：JWT过期异常
    4. 		//io.jsonwebtoken.SignatureException：签名异常
    5. 		String newJwt="eyJhbGciOiJIUzI1NiJ9.eyJpc3MiOiJ6a2luZyIsImV4cCI6MTY5NzE4Nzc0OSwiaWF0IjoxNjk3MTg1OTQ5LCJhZ2UiOjE4LCJqdGkiOiJlNGZlOWFjYWY0Njk0YTZmYjg4ZmVkNjE3NGEyZGUxZiIsInVzZXJuYW1lIjoienNzIn0.ThB8lHAw4mfPdwoTE6gnzWYN2hZbaNxvt4n2QYDOOEE";
    6. 		String oldJwt = "eyJhbGciOiJIUzI1NiJ9.eyJleHAiOjE2MzU1NjE3MjcsImlhdCI6MTYzNTU1OTkyNywiYWdlIjoxOCwianRpIjoiN2RlYmIzM2JiZTg3NDBmODgzNDI5Njk0ZWE4NzcyMTgiLCJ1c2VybmFtZSI6InpzcyJ9.dUR-9JUlyRdoYx-506SxXQ3gbHFCv0g5Zm8ZGzK1fzw";
    7. 		Claims parseJwt = JwtUtils.parseJwt(newJwt);
    8. 		for (Map.Entry entry : parseJwt.entrySet()) {
    9.  
    10. 			System.out.println(entry.getKey() + "=" + entry.getValue());
    11. 		}
    12. 		Date d1 = parseJwt.getIssuedAt();
    13. 		Date d2 = parseJwt.getExpiration();
    14. 		System.out.println("令牌签发时间：" + sdf.format(d1));
    15. 		System.out.println("令牌过期时间：" + sdf.format(d2));
    16. 	}

    复制jwt，并延时30分钟

    测试方法三 : 

    test3()  

    将以上生成的JWT字符串进行延时&复制

    1. 	@Test
    2. 	public void test3() {// 复制jwt，并延时30分钟
    3. 		String oldJwt = "eyJhbGciOiJIUzI1NiJ9.eyJpc3MiOiJ6a2luZyIsImV4cCI6MTY5NzE4Nzc0OSwiaWF0IjoxNjk3MTg1OTQ5LCJhZ2UiOjE4LCJqdGkiOiJlNGZlOWFjYWY0Njk0YTZmYjg4ZmVkNjE3NGEyZGUxZiIsInVzZXJuYW1lIjoienNzIn0.ThB8lHAw4mfPdwoTE6gnzWYN2hZbaNxvt4n2QYDOOEE";
    4. 		String newJwt = JwtUtils.copyJwt(oldJwt, JwtUtils.JWT_WEB_TTL);
    5. 		System.out.println(newJwt);
    6. 		Claims parseJwt = JwtUtils.parseJwt(newJwt);
    7. 		for (Map.Entry entry : parseJwt.entrySet()) {
    8.  
    9. 			System.out.println(entry.getKey() + "=" + entry.getValue());
    10. 		}
    11. 		Date d1 = parseJwt.getIssuedAt();
    12. 		Date d2 = parseJwt.getExpiration();
    13. 		System.out.println("令牌签发时间：" + sdf.format(d1));
    14. 		System.out.println("令牌过期时间：" + sdf.format(d2));
    15. 	}

    测试JWT的有效时间

    测试方法四 : 

    test4()  

    将以上生成的JWT字符串进行测试有效时间

    1. 	@Test
    2. 	public void test4() {// 测试JWT的有效时间
    3. 		Map claims = new HashMap();
    4. 		claims.put("username", "zss");
    5. 		String jwt = JwtUtils.createJwt(claims, 3 * 1000L);
    6. 		System.out.println(jwt);
    7. 		Claims parseJwt = JwtUtils.parseJwt(jwt);
    8. 		Date d1 = parseJwt.getIssuedAt();
    9. 		Date d2 = parseJwt.getExpiration();
    10. 		System.out.println("令牌签发时间：" + sdf.format(d1));
    11. 		System.out.println("令牌过期时间：" + sdf.format(d2));
    12. 	}

    测试过期JWT的解析

    测试方法五 : 

    test5()  

    测试过期JWT的解析

    1. 	@Test
    2. 	public void test5() {// 三秒后再解析上面过期时间只有三秒的令牌，因为过期则会报错io.jsonwebtoken.ExpiredJwtException
    3. 		//String oldJwt = "eyJhbGciOiJIUzI1NiJ9.eyJleHAiOjE2MzU1NjMzODIsImlhdCI6MTYzNTU2MTU4MiwiYWdlIjoxOCwianRpIjoiN2RlYmIzM2JiZTg3NDBmODgzNDI5Njk0ZWE4NzcyMTgiLCJ1c2VybmFtZSI6InpzcyJ1.F4pZFCjWP6wlq8v_udfhOkNCpErF5QlL7DXJdzXTHqE";
    4. 		String oldJwt = "eyJhbGciOiJIUzI1NiJ9.eyJpc3MiOiJ6a2luZyIsImV4cCI6MTY5NzE4MDM2MywiaWF0IjoxNjk3MTc4NTYzLCJhZ2UiOjE4LCJqdGkiOiJmYmVhOTUyZDVlMTA0OTFiODA5MjkxNDcxNjNlMDIxYiIsInVzZXJuYW1lIjoienNzIn0.63jn2lHoFzIrWJ0yS_mTOSTlLebwcF2P2wlzutapIqs";
    5. 		Claims parseJwt = JwtUtils.parseJwt(oldJwt);
    6. 		// 过期后解析就报错了，下面代码根本不会执行
    7. 		Date d1 = parseJwt.getIssuedAt();
    8. 		Date d2 = parseJwt.getExpiration();
    9. 		System.out.println("令牌签发时间：" + sdf.format(d1));
    10. 		System.out.println("令牌过期时间：" + sdf.format(d2));
    11. 	}

    四、应用

    在我们的spa项目中找到state.js文件 （ src/store/state.js）进行编写 :

    1. export default {
    2.   eduName: '默认值~~',
    3.   jwt: ''
    4. }

    在我们的spa项目中找到getters.js文件 （ src/store/getters.js）进行编写 :

    1. export default {
    2.   getEduName: (state) => {
    3.     return state.eduName;
    4.   },
    5.   getJwt: (state) => {
    6.     return state.jwt;
    7.   }
    8. }

    在我们的spa项目中找到mutations.js文件 （ src/store/mutations.js）进行编写 :

    1. export default {
    2.   // type(事件类型)： 其值为setEduName
    3.   // payload：官方给它还取了一个高大上的名字：载荷，其实就是一个保存要传递参数的容器
    4.   setEduName: (state, payload) => {
    5.     state.eduName = payload.eduName;
    6.   },
    7.   setJwt: (state, payload) => {
    8.     state.jwt = payload.jwt;
    9.   }
    10. }

    在我们的spa项目中找到main.js文件，进行编写 : 

    1. /* eslint-disable no-new */
    2. window.mm = new Vue({
    3.   el: '#app',
    4.   router,
    5.   store,
    6.   data() {
    7.     return {
    8.       bus: new Vue()
    9.     }
    10.   },
    11.   components: {
    12.     App
    13.   },
    14.   template: ''
    15. })

    在我们的spa项目中找到http.js文件 （ src/api/http.js）进行编写请求拦截器 & 响应拦截器  :

    1. // 请求拦截器
    2. axios.interceptors.request.use(function(config) {
    3.   let jwt = window.mm.$store.getters.getJwt;
    4.   if(jwt){
    5.     config.headers['jwt'] = jwt;
    6.   }
    7.   return config;
    8. }, function(error) {
    9.   return Promise.reject(error);
    10. });
    11.  
    12. // 响应拦截器
    13. axios.interceptors.response.use(function(response) {
    14.   //将响应头中的jwt字符串放入state.js中
    15.   let jwt = response.headers['jwt'];
    16.   if (jwt) {
    17.     window.mm.$store.commit('setJwt', {
    18.       jwt: jwt
    19.     });
    20.   }
    21.   return response;
    22. }, function(error) {
    23.   return Promise.reject(error);
    24. });

    在执行目录开启前端项目，并且打开idea开启后台项目(服务器)，进行测试效果 :

  • 相关阅读:
    Spring——感谢尚硅谷官方文档
    后端防接口被刷
    pytorch梯度累积
    避免项目资源管理陷阱，8Manage帮你支招！
    BI-SQL丨存储过程（一）
    C#，双向链表（Doubly Linked List）归并排序（Merge Sort）算法与源代码
    打包项目报错：程序包javax.servlet不存在
    char 和 varcha 的区别是什么
    文件混淆-界面介绍
    C++ bool类型变量赋值true，输出结果却是false？是因为cin输入的true会被当成字符串，所以bool变量原值不变吗？
  • 原文地址：https://blog.csdn.net/SAME_LOVE/article/details/133811830