JJWT的token生成以及相关实践

1.JWT生成token的结构：

• Header: 标题包含了令牌的元数据，而且在最小包含签名和/或加密算法的类型

• Claims: Claims包含您想要签署的任何信息

• JSON Web Signature (JWS): 在header中指定的使用该算法的数字签名和声明

JWT原始存储的原始数据：

{

"appKey":"eddue",

"appSecret":"123456",

"appVersion":"1.0.0",

"customerId":"1",

"customerMobile":"150XXXXXXX",

"customerName":"XXX",

"loginTimeStamp":1540202470443,

"systemSource":"android",

"timestamp":"1540204270527"

}

生成转化成token字符串数据结构

注意事项：

1.sign签名加密的key必定要放在服务端配置，防止外泄

2.访问http请求的方式必定要改为https

3.默认JWT的token是永久有效，能够在token中加入时间戳，利用redis存储用户信息，使用redis缓存失效时间策略，实现JWT的token失效

4.针对token串存在安全问题，对tokenId以及其余请求参数再作一次签名处理防止黑客获取请求token后，在token有效期内修改其余请求参数。若是你还不放心，咱们能够在继续使用AES非对称算法对请求数据进行加密处理，防止数据篡改