jwt 的使用

jwt 是什么？ json web token 的简称，是一种无状态的认证机制

原理：客户端向服务器端请求一个 jwt 生成的 token ，这个token 带有一些信息，下次客户端请求接口的时候带上这个 token，服务器端检查这个 token，以此判断用户的请求是否合法。所以 jwt是做认证的，不要理解成加密的了。

jwt生成的 token 组成: 头部.负载.签名

头部: 是 base64 编码的包含有签名算法的 json 字符串

　　比如 header 为 {"alg":"HS512"} 加密以后就是 eyJhbGciOiJIUzUxMiJ9

负载: 有承载的数据和时间的 json 字符串被 base64 转码以后得到的数据

　　比如: playload 为 {"sub":"18508280881,100","exp":1532672451} 对应着 eyJzdWIiOiIxODUwODI4MDg4MCwxMDAiLCJleHAiOjE1MzI2NzI0NTF9

签名:签名是验证 jwt token 是否合法的签名= 头指定的算法( base64UrlEncode(header) + "." + base64UrlEncode(payload), secret )

　　secret 是一个只有服务器知道的秘钥；

上面的完整token:eyJhbGciOiJIUzUxMiJ9.eyJzdWIiOiIxODUwODI4MDg4MCwxMDAiLCJleHAiOjE1MzI2NzI0NTF9.sJaL2dpYAQdi3ZloDjIHzuIUetHEupMVD5dnnNjWdHFOrLZXgZi2C68FG1O5UGZ0_JMNW8rqYDECw9ligoc1RQ

secret 是：abc=

Java 代码例子如下

package com.sbl.pay.subaccount;


import java.util.Calendar;
import java.util.Date;

import io.jsonwebtoken.Claims;
import io.jsonwebtoken.JwtBuilder;
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;

/**
 * jwt工具
 * @author ZHANGYUKUN
 *
 */
public class JWTUtil {

    public static void main(String[] args) {
        String secretKey = "abc=";
        
        
        System.out.println( JWTUtil.createToken( "zyk" ,secretKey) );
        System.out.println(  JWTUtil.checkToken( secretKey , JWTUtil.createToken("zyk" ,secretKey)  ) );

    }
    
    /**
     * 验证 token 
     * @param secretKey
     * @param tokenValue
     * @return 成功 返回 解密后的内容，否者抛出异常
     */
    public static String checkToken(String secretKey,String tokenValue) {
        Claims claims = Jwts.parser().setSigningKey( secretKey ).parseClaimsJws(tokenValue).getBody();
        return claims.getSubject();
    }

    /**
     * 生成 token 
     * @param content 负载的内容
     * @param secretKey 秘钥
     * @return token
     */
    public static String createToken(String content,String secretKey) {
        JwtBuilder builder = Jwts.builder().setSubject( content );
        String userToken = builder.signWith(SignatureAlgorithm.HS512,  secretKey ).compact();
        return userToken;
    }
    
    /**
     * 生成 token 
     * @param content 负载的内容
     * @param secretey 秘钥
     * @param expiresTime 过期时间（秒）
     * @return token
     */
    public static String createToken(String content,String secretKey,int  expiresTime) {
    	Calendar calendar = Calendar.getInstance();
    	calendar.add(Calendar.SECOND , expiresTime );
        
        JwtBuilder builder = Jwts.builder().setSubject( content ).setExpiration( calendar.getTime() );
        String userToken = builder.signWith(SignatureAlgorithm.HS512,  secretKey ).compact();
        return userToken;
    }


}

结果

eyJhbGciOiJIUzUxMiJ9.eyJzdWIiOiIxODUwODI4MDg4MCwxMDAiLCJleHAiOjE1MzI1OTA1MzZ9.ckV39Ev9_SQxwABeSfVfcuCndwEyOZUbkUXdPeZIjBVTo4UlSXYFamjmRqp8w7yDrJ_KDQrey4LshAMCy0MGlg
18508280881,100

总结 jwt的用途是做认证，并且这种认证是无状态的和restful 天生一对, jwt 也有明显的缺点如果 jwt 生成的 token被获取，那么在token过期的这短时间内可以一直被利用。但是这个不是jwt 关心的重点，可以通过 https 来保证数据传输的安全，可以通过后端别的机制认证 token 是否过期(不仅仅依赖 token 里面的过期时间 )

采坑了：

如果验证在别人那里，被人给你的secretKey 是没有加密的。那么你用 base64转码以后再生成token。 secretKey = Base64.getEncoder().encodeToString( secretKey.getBytes() ); 。否者这边对的，两边一对接就出错。