springboot实战学习（7）(JWT令牌的组成、JWT令牌的使用与验证)

接着上篇博客的学习。上篇博客是在基本完成用户模块的注册接口的开发以及注册时的参数合法性校验的基础上，基本完成用户模块的登录接口的主逻辑以及提到了问题："用户未登录，需要通过登录，获取到令牌进行登录认证，才能使用其他功能的接口"。具体往回看了解的链接如下。springboot实战学习（6）(用户模块的登录认证)(初识令牌)(JWT)-CSDN博客文章浏览阅读2次。本篇博客是在处理用户模块中登录认证时遇到需要解决的问题。因为未登录时，需要做到无法访问和使用其他功能的接口。也就提到了令牌的作用以及满足令牌的规范"JWT"。具体的学习下篇博客进行学习...https://blog.csdn.net/m0_74363339/article/details/142365524?spm=1001.2014.3001.5502

接下来就去认真了解和学习Web登录认证中常用的令牌规范——>"JWT"。

目录

一、JWT（令牌规范）

（1）基本介绍

（2）基本组成

（I）解释上方图片（JWT令牌字符串）

（II）总结组成

二、程序中使用JWT令牌 

（1）回顾与思考

三、JWT令牌的生成

（1）JWT令牌示范

（1）如何生成

（2）如何使用生成"JWT令牌"工具

（I）第一步。导入工具的坐标（依赖）

（II）第二步。调用API，生成令牌。

（III）生成"JWT令牌"的代码不需要去记忆

（3）IDEA中写单元测试的方法测试生成JWT令牌

四、JWT令牌的验证

（1）DEA中写单元测试的方法测试"JWT令牌"的验证

（2）测试因篡改"JWT令牌"导致验证失败的几种情况

（I）篡改JWP令牌"头部部分"进行验证。

​编辑

（II）篡改JWP令牌中间"载荷部分"进行验证。

（III）篡改JWP令牌尾部"数字签名"（篡改密钥）进行验证。

（3）处理因篡改JWT令牌的数据导致的异常

（I）如果篡改了头部和载荷部分的数据，那么验证失败。

（II）如果篡改了密钥数据，那么验证失败。

（III）如果超过设定的Token令牌过期时间，那么验证失败。

（4）关于"JWT令牌"验证的注意事项

五、总结

（1）JWT令牌的组成

（2）JWT令牌的使用

（3）尾言

一、JWT（令牌规范）

（1）基本介绍
  • JWT的全称：JSON Web Token
JSON Web Tokens - jwt.ioJSON Web Token (JWT) is a compact URL-safe means of representing claims to be transferred between two parties. The claims in a JWT are encoded as a JSON object that is digitally signed using JSON Web Signature (JWS).icon-default.png?t=O83Ahttps://jwt.io/

（也就是用于Web领域的基于JSON格式的令牌）

  • 定义了一种简洁的、自包含的格式，用于通信双方以json数据格式安全的传输信息。

（JSON是一种文本数据格式，来源于JavaScript的对象语法。）

（2）基本组成

（I）解释上方图片（JWT令牌字符串）
  • 上面展示的它是前后端交互时传输的字符串。而这个字符串是由JSON格式的字符串编码得来的字符串。可以看到上面字符串有两个小"."，它就是把这整个字符串分为三个部分。而"分割"的每一个小串，对应着Token令牌的一部分。
  • 第一部分是头。它是由JSON字符串编码得来的。这个部分的字符串会记录两个信息。第一个是"alg"（它是加密算法，防篡改），而"type"（是JWT）。
  • 第二部分是"有效载荷"。它是也是一段字符串。而在这段字符串中，他会存放我们的业务数据。比如存放用户的id、用户的username等等。这段字符串编码后，也会得到上面Token令牌里面的这一段。 
  • 而对应的JSON格式的字符串，是如何转换为上面Token令牌中展示的这一段"特殊长的字符串"呢？在JWT中会借助于"base64"这种编码方式完成。而"base64"可以将任意数据转换成64个可打印字符（'a'-'z'、'A'-'Z'、'0'-'9'等等）。这些64个可打印字符最重要的特点就是："通用"，在任意场景都可以被支持。
  • 将JSON格式的字符串转换为64个可打印的字符串，原因是为了提供Token令牌的实用性。记得"base64"仅仅是一种编码方式，而不是加密。因此记得在Token令牌的第二部分"有效载荷"，一定注意不要放私密数据（比如用户密码等），不然不安全。

  • 最后一部分叫做"数字签名"。它是将第一部分以及第二部分，借助于密钥和加密算法，通过加密得来的。而这里的加密算法，是通过头部的"alg"来制定的。密钥可以在程序中单独配置。
  • 有了这个数字签名，就可以防篡改，确保Token是安全的。因为将来即使篡改了第一和第二部分，但第三部分是不能篡改的，因为是加密后的字符串。将来JWT再去解析Token令牌时，通过解密第三部分，得到"头部"与"载荷"，再拿到解密的内容与用户传递的内容进行比对，如果不一样，就不让访问。
（II）总结组成

二、程序中使用JWT令牌 

（1）回顾与思考
  • 回到之前的所完成用户模块的注册接口与登录接口的主逻辑。

springboot实战学习笔记（5）(用户登录接口的主逻辑)-CSDN博客

  • 现在需要在用户登录之后生成一个"JWT令牌"，生成了之后还需要把"JWT令牌"响应给浏览器。
  • 将来浏览器再去访问服务器上的其它资料时，会携带这个令牌访问。这时服务器就能够得到这个令牌，并且还需要去验证这个令牌的合法性。如果令牌合法、没有被篡改，就正常提供服务，反之。
  • 需要学习如何生成令牌？如何验证令牌？

三、JWT令牌的生成

（1）JWT令牌示范

（1）如何生成
  • 可以自己手写，毕竟JWT是一个令牌的规范写法。而是规范，大家都可以实现的。
  • 有人提供了生成"JWT令牌"的工具，所以可以直接使用这些工具即可。
（2）如何使用生成"JWT令牌"工具
（I）第一步。导入工具的坐标（依赖）

  • 引入的是java-jwt

  • 引入坐标时，报错，记得尝试刷新一个Maven

  • 因为我们当前写的"生成令牌"或者"验证令牌"代码，它仅仅是一个测试的代码。所以需要把它写到单元测试里面。所以还要引入单元测试的坐标

  • springboot为了更方便的测试spring程序，提供了springboot整合单元测试的一个起步依赖。

  • 添加完毕，一定记得刷新Maven。

（II）第二步。调用API，生成令牌。
（III）生成"JWT令牌"的代码不需要去记忆
  • 因为将来在公司中使用的时候，都是使用提供好的工具类，然后直接调用即可
（3）IDEA中写单元测试的方法测试生成JWT令牌
  • 在test目录的feisi目录下，新建一个类"JwtTest"。在这个类的内部去写单元测试的代码。

  • 新建一个方法testGen()，并且需要在方法上添加一个注解@Test。

  • 如果要生成令牌，就要调用JWT的API。然后先调用其create()方法。
  • 然后利用链式编程的方式来调用方法。首先调用第一个方法"withClaim()"，这个方法的作用是添加"载荷"(前面讲过)。

  • 这个添加载荷的方法就是：第一值传入键的名字(name)（如这里设置为"user"，那么将来这个载荷就是承载着用户相关的信息），第二个参数值放一个map集合，比如user将来肯定有"id"、"username"等等。
JWT.create().withClaim("user",claims);
  • 所以接着就要创建一个Map类型的集合。指定其键是"String"类型，而值是"Object"类型的。
Map<String, Object> claims = new HashMap<>();
  • 有了这个claims集合，就可以调用方法put()。如下添加。这样就提供添加"载荷"的方式，把当前用户信息添加进去了。
claims.put("id",1);claims.put("username","张三");
  • 接下来JWT.create().后面还可以添加几个方法。
  • 如.withExpiresAt()。这是添加过期时间。也就是登录时获得的令牌是有登录有效期的，时间过了，就需要重新登录。将来的Token令牌是有有效期的。
  • 里面是需要一个Data对象。直接new Data()。但是这个是当前的时间，所以还需要通过System提供的获取当前毫秒值的方法，再重新new一个Data对象。往后延迟指定一段时间。
  • 当前毫秒值+1000*60*60*12（也就是延后12个小时）。
JWT.create().withClaim("user",claims).withExpiresAt(new Date(System.currentTimeMillis()+1000*60*60*12));
  • 如sign()方法。"sign"是签名的意思。也就是如上面说的数字签名，加密用的。方法参数需要指定一个加密算法。这里选择HMAC256()这个算法。
  • 在指定算法的时候，需要指定一个密钥。这个是由自己定就行，就是一个字符串。但是它是加密的密钥，所以不要泄露，不然不能防篡改，保证安全。
.sign(Algorithm.HMAC256("feisi"));//指定算法，配置密钥
  • 这几个方法一旦调用，我们的Token令牌就能生成。所以就要去接收一下Token。
package com.feisi;import com.auth0.jwt.JWT;
import com.auth0.jwt.algorithms.Algorithm;
import org.junit.jupiter.api.Test;import java.util.Date;
import java.util.HashMap;
import java.util.Map;public class JwtTest {//生成JWT令牌的方法@Testpublic void testGen(){Map<String, Object> claims = new HashMap<>();claims.put("id",1);claims.put("username","张三");//生成JWT代码String token = JWT.create().withClaim("user",claims) //添加载荷.withExpiresAt(new Date(System.currentTimeMillis()+1000*60*60*12)) //添加过期时间.sign(Algorithm.HMAC256("feisi"));//指定算法，配置密钥//打印输出到控制台，查看生成的token令牌System.out.println(token);}
}
  • 最后运行一下这个测试类的方法。这样"JWT令牌"的生成就完成了。

四、JWT令牌的验证

（1）DEA中写单元测试的方法测试"JWT令牌"的验证
  • 首先这一部分的代码也不需要去背或者记忆。
  • 接着上面，在"testGen()"方法下添加一个方法"testParse()"。
  • 也是一样记得添加单元测试的注解@Test。

  • 接着定义一个字符串"token"，模拟存储用户传递给浏览器的token令牌。
  • 而这个token的值就用上面控制台打印的token令牌字符串就行。
//验证JWT令牌的方法@Testpublic void testParse(){//定义字符串，模拟用户传递给浏览器的token令牌//这个token就用上面生成的token令牌字符串就行String token = "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9"+".eyJ1c2VyIjp7ImlkIjoxLCJ1c2VybmFtZSI6IuW8oOS4iSJ9LCJleHAiOjE3MjcwMzg2MDl9"+".LgfVNY-OAkjAps8yQXDkKyCIRbWw5jNQiNZwwbMf2F4";}
  • 接着开始提供验证了。去提供调用JWT这个类里面的一个静态方法"require()"。这是申请一个JWT的验证器。
  • 而这个方法里面的参数需要传递一个算法。之前加密用的算法，解密也要同样用一样的算法。直接复制过来。
  • 然后再调用一个".build()"方法去生成验证器。再用一个变量"jwtVerifier"给他存起来。
JWTVerifier jwtVerifier = JWT.require(Algorithm.HMAC256("feisi")).build();
  • 有了这个变量之后，就可以调用验证器的方法，去验证这个token令牌字符串。
  • 调用方法".verify()"，把之前控制台的token传递给它。

  • 它可以去解析这个token令牌。然后生成一个解析后的JWT对象。
DecodedJWT decodedJWT = jwtVerifier.verify(token); //验证token，生成一个解析后的JWT对象
  • 如果能正常的解析成功之后。那么就意味着可以从变量"decodedJWT"里面获取到当前的"头部"或者"载荷"以及"数字签名"等等。
  • 则调用它的一个方法："GetClaims()"，而它会得到所有的"载荷"。用Map对象的变量去接收一下它。
Map<String, Claim> claims = decodedJWT.getClaims();
  • 然后我们指定获取键名(name)为"user"的载荷。并且把得到的结果输出到控制台里面。
package com.feisi;import com.auth0.jwt.JWT;
import com.auth0.jwt.JWTVerifier;
import com.auth0.jwt.algorithms.Algorithm;
import com.auth0.jwt.interfaces.Claim;
import com.auth0.jwt.interfaces.DecodedJWT;
import org.junit.jupiter.api.Test;import java.util.Date;
import java.util.HashMap;
import java.util.Map;public class JwtTest {//生成JWT令牌的方法@Testpublic void testGen(){Map<String, Object> claims = new HashMap<>();claims.put("id",1);claims.put("username","张三");//生成JWT代码String token = JWT.create().withClaim("user",claims) //添加载荷.withExpiresAt(new Date(System.currentTimeMillis()+1000*60*60*12)) //添加过期时间.sign(Algorithm.HMAC256("feisi"));//指定算法，配置密钥//打印输出到控制台，查看生成的token令牌System.out.println(token);}//验证JWT令牌的方法@Testpublic void testParse(){//定义字符串，模拟用户传递给浏览器的token令牌//这个token就用上面生成的token令牌字符串就行String token = "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9"+".eyJ1c2VyIjp7ImlkIjoxLCJ1c2VybmFtZSI6IuW8oOS4iSJ9LCJleHAiOjE3MjcwMzg2MDl9"+".LgfVNY-OAkjAps8yQXDkKyCIRbWw5jNQiNZwwbMf2F4";JWTVerifier jwtVerifier = JWT.require(Algorithm.HMAC256("feisi")).build();DecodedJWT decodedJWT = jwtVerifier.verify(token); //验证token，生成一个解析后的JWT对象Map<String, Claim> claims = decodedJWT.getClaims();System.out.println(claims.get("user"));}
}
  • 得到控制台的正常输出，如："id，1"、"username，"张三""等等就解析成功了！
  • 正常的解析成功如下。

（2）测试因篡改"JWT令牌"导致验证失败的几种情况
（I）篡改JWP令牌"头部部分"进行验证。

（II）篡改JWP令牌中间"载荷部分"进行验证。

  • 所以我们的JWT令牌是具体放篡改的功能的。

（III）篡改JWP令牌尾部"数字签名"（篡改密钥）进行验证。
  • 篡改了原来设定的密钥"feisi"改成"fesi"。

（3）处理因篡改JWT令牌的数据导致的异常
（I）如果篡改了头部和载荷部分的数据，那么验证失败。
（II）如果篡改了密钥数据，那么验证失败。
（III）如果超过设定的Token令牌过期时间，那么验证失败。

（Token过期）

  • 例如如下情况：报错提示"这个Token令牌"已经过期。

（4）关于"JWT令牌"验证的注意事项

五、总结

（1）JWT令牌的组成

  • "载荷"这一块要注意。不要存放一些私密信息，因为"base64"算法不是一个加密算法，它是公开的，每个人都能使用
  • 通过密钥与加密算法去验证Token令牌的合法性
（2）JWT令牌的使用

（借助工具："JAVA-JWT"）

（3）尾言

下篇博客就要开始继续完成用户登录认证的接口开发了！也就是把令牌的生成与验证加入到登录功能中。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.xdnf.cn/news/1542702.html

如若内容造成侵权/违法违规/事实不符，请联系一条长河网进行投诉反馈，一经查实，立即删除！

相关文章

TypeError: a bytes-like object is required, not ‘str‘ - 完美解决方法

TypeError: a bytes-like object is required, not ‘str‘ - 完美解决方法

&#x1f680;TypeError: a bytes-like object is required, not str - 完美解决方法&#x1f4a1; &#x1f680;TypeError: a bytes-like object is required, not str - 完美解决方法&#x1f4a1;摘要引言正文1. 错误背景&#xff1a;字节与字符串的区别&#x1f440;2. 错…
阅读更多...
告别ESLint噩梦！轻松几步解决 indent 与 react/jsx-indent-props 的 空格 冲突！

告别ESLint噩梦！轻松几步解决 indent 与 react/jsx-indent-props 的 空格 冲突！

话不多说&#xff0c;直接上代码&#xff0c;下面是截取的一部分 eslint 配置。可以看到我设置了四个空格和标签属性对齐首个。 "rules": {"indent": ["error", 4], // 四个空格"react/jsx-indent-props": ["error", "…
阅读更多...
双虚拟机部署php项目

双虚拟机部署php项目

前言 经过前面的学习，我们对分布式部署有了一定的了解，这次我们尝试做些东西 准备 我打算用虚拟机部署一个外联网盘 一台虚拟机安装php另一台安装MySQL，但是之前已经安装过 MariaDB 了，就不打算改了。 通常MariaDB与MySQL兼容性很好，可以作为替代使用。彩虹外链网盘项目…
阅读更多...
【C++11】异常处理

【C++11】异常处理

目录 一、异常的引入 二、C异常的关键字 三、异常的抛出与处理规则 四、异常缺陷的处理 五、自定义异常体系 六、异常规范 七、异常安全 八、异常的优缺点 1.优点 2.缺点 一、异常的引入 传统的C语言处理异常的方式有两种&#xff1a; 1.终止程序&#xff1a;使用as…
阅读更多...
CSS 选择器的分类与使用要点一

CSS 选择器的分类与使用要点一

目录 非 VIP 用户可前往公众号进行免费阅读 标签选择器 id 选择器 类选择器 介绍 公共类 CSS 中优先用 class 选择器，慎用 id 选择器 后代选择器 交集选择器 以标签名作为开头 以类名作为开头 连续交集 并集选择器（分组选择器） 通配符* 儿子选择器 >（IE7…
阅读更多...
变量常量标识符

变量常量标识符

1. 变量 1.1 变量的概念 变量是计算机内存中的一块存储单元&#xff0c;是存储数据的基本单元变量的组成包括&#xff1a;数据类型、变量名、值&#xff0c;后文会具体描述变量的本质作用就是去记录数据的&#xff0c;比如说记录一个人的身高、体重、年龄&#xff0c;就需要去…
阅读更多...
PP-HGNet(High Performance GPU Net)

PP-HGNet(High Performance GPU Net)

发展历程&#xff1a; DenseNet -> VoVNet -> HGNet VoVNet是DenseNet的改进&#xff0c;如图&#xff1a; VoVNet论文网址&#xff1a; https://arxiv.org/pdf/1904.09730 HGNet模型简介 PP-HGNet(High Performance GPU Net) 是百度飞桨视觉团队自研的更适用于 GPU…
阅读更多...
【AI大模型】对接LLM API

【AI大模型】对接LLM API

本章节主要介绍四种大语言模型&#xff08;ChatGPTAPI、文心一言、讯飞星火、智谱 GLM&#xff09;的 API 申请指引和 Python 版本的原生 API 调用方法。 文心一言&#xff1a;当前无赠送新用户 tokens 的活动&#xff0c;推荐已有文心 tokens 额度用户和付费用户使用&#xf…
阅读更多...
果断收藏！2024年最好用的七款高效论文写作神器

果断收藏！2024年最好用的七款高效论文写作神器

在2024年&#xff0c;随着人工智能技术的飞速发展&#xff0c;AI论文写作工具成为学术研究和写作领域的一大助力。这些工具不仅能够显著提高写作效率&#xff0c;还能帮助学者和学生节省时间&#xff0c;减少熬夜&#xff0c;同时保证论文质量。以下是七款高效且值得收藏的AI论…
阅读更多...
Python_控制循环语句

Python_控制循环语句

if语句单分支结构的语法形式如下&#xff1a; 【操作】输入一个数字&#xff0c;小于10&#xff0c;则打印这个数字(if_test01.py)&#xff1a; num input("输入一个数字&#xff1a;") if int(num)<10: print("小于10的数&#xff1a;"num)条件表达式…
阅读更多...
2024年华为杯数学建模E题-高速公路应急车道启用建模-基于YOLO8的数据处理代码参考（无偿分享）

2024年华为杯数学建模E题-高速公路应急车道启用建模-基于YOLO8的数据处理代码参考（无偿分享）

利用YOLO模型进行高速公路交通流量分析 识别效果&#xff1a; 免责声明 本文所提供的信息和内容仅供参考。尽管我尽力确保所提供信息的准确性和可靠性&#xff0c;但我们不对其完整性、准确性或及时性作出任何保证。使用本文信息所造成的任何直接或间接损失&#xff0c;本人…
阅读更多...
资源创建方式-Job

资源创建方式-Job

Job: 容器按照持续运行的时间可分为两类&#xff0c;服务类容器&#xff0c;和工作类容器 服务类容器通常持续提供服务&#xff0c;需要一直运行&#xff0c;比如HTTP,Server&#xff0c;Daemon等&#xff0c; 工作类容器则是一次性任务&#xff0c;比如批处理程序&#xff0…
阅读更多...
stm32单片机个人学习笔记7（TIM定时中断）

stm32单片机个人学习笔记7（TIM定时中断）

前言 本篇文章属于stm32单片机&#xff08;以下简称单片机&#xff09;的学习笔记&#xff0c;来源于B站教学视频。下面是这位up主的视频链接。本文为个人学习笔记&#xff0c;只能做参考&#xff0c;细节方面建议观看视频&#xff0c;肯定受益匪浅。 STM32入门教程-2023版 细…
阅读更多...
数值计算 --- 平方根倒数快速算法(中)

数值计算 --- 平方根倒数快速算法(中)

平方根倒数快速算法 --- 向Greg Walsh致敬&#xff01; 1&#xff0c;平方根倒数快速算法是如何选择初值的?WTF中的神秘数字究竟是怎么来的&#xff1f; 花开两朵&#xff0c;各表一枝。在前面的介绍中&#xff0c;我们已经知道了这段代码的作者在函数的最后使用了NR-iteratio…
阅读更多...
Python办公自动化教程（003）：PDF的加密

Python办公自动化教程（003）：PDF的加密

【1】代码 from PyPDF2 import PdfReader, PdfWriter# 读取PDF文件 pdf_reader PdfReader(./file/Python教程_1.pdf) pdf_writer PdfWriter()# 对第1页进行加密 page pdf_reader.pages[0]pdf_writer.add_page(page) # 设置密码 pdf_writer.encrypt(3535)with open(./file/P…
阅读更多...
mybatis 配置文件完成增删改查(四) ：多条件 动态sql查询

mybatis 配置文件完成增删改查(四) ：多条件 动态sql查询

文章目录 就是你在接收数据时&#xff0c;有的查询条件不写&#xff0c;也能从查到相应的stauts也可能为空恒等式标签 代替where关键字 就是你在接收数据时&#xff0c;有的查询条件不写&#xff0c;也能从查到相应的 注意是写字段名 还是 属性名 companyName不写也能查出满足…
阅读更多...
亚马逊IP关联揭秘：发生ip关联如何处理

亚马逊IP关联揭秘：发生ip关联如何处理

在亚马逊这一全球领先的电商平台上&#xff0c;IP关联是一个不可忽视的问题&#xff0c;尤其是对于多账号运营的卖家而言。本文将深入解析亚马逊IP关联的含义、影响以及应对策略&#xff0c;帮助卖家更好地理解和应对这一问题。 什么是亚马逊IP关联&#xff1f; 亚马逊IP关联…
阅读更多...
9.22算法题数组篇

9.22算法题数组篇

数组的遍历 485.最大连续1的个数 题解 class Solution {public int findMaxConsecutiveOnes(int[] nums) {int maxcount0,count0;for (int i 0;i<nums.length;i){if(nums[i]1){count;}else{maxcountMath.max(maxcount,count);count0;}}maxcountMath.max(maxcount,count);r…
阅读更多...
2024AI做PPT软件如何重塑演示文稿的创作

2024AI做PPT软件如何重塑演示文稿的创作

现在AI技术的发展已经可以帮我们写作、绘画&#xff0c;最近我发现了不少ai做ppt的工具&#xff01;不体验不知道&#xff0c;原来合理使用AI工具可以有效的帮我们进行一些办公文件的编写&#xff0c;提高了不少工作效率。如果你也有这方面的需求就接着往下看吧。 1.笔灵AIPPT…
阅读更多...
linux-----进程控制

linux-----进程控制

提示&#xff1a;以下是本篇文章正文内容&#xff0c;下面案例可供参考 一、fork()函数 返回值&#xff1a;子进程返回0&#xff0c;父进程返回子进程的id,出错就返回-1. fork创建子进程&#xff0c;如果父子一方发生写入时&#xff0c;就会发生写实拷贝&#xff0c;操作系统就…
阅读更多...
最新文章

Copyright @ 2022~2023