了解登陆中的JWT

1.JSON Web Token是什么

    JSON Web Token (JWT)是一个开放标准(RFC 7519)，它定义了一种紧凑的、自包含的方式，用于做为JSON对象在各方之间安全地传输信息。该信息能够被验证和信任，由于它是数字签名的。

2.JSON Web Token有什么用

下列场景中使用JSON Web Token是颇有用的：

Authorization (受权) : 这是使用JWT的最多见场景。一旦用户登陆，后续每一个请求都将包含JWT，容许用户访问该令牌容许的路由、服务和资源。单点登陆是如今普遍使用的JWT的一个特性，由于它的开销很小，而且能够轻松地跨域使用。
Information Exchange (信息交换) : 对于安全的在各方之间传输信息而言，JSON Web Tokens无疑是一种很好的方式。由于JWTs能够被签名，例如，用公钥/私钥对，你能够肯定发送人就是它们所说的那我的。另外，因为签名是使用头和有效负载计算的，您还能够验证内容没有被篡改。

3.JSON Web Token是什么样的

JSON Web Token由三部分组成，它们之间用圆点(.)链接。这三部分分别是：

Header
Payload
Signature

所以，一个典型的JWT看起来是这个样子的：

xxxxx.yyyyy.zzzzz

Header
header典型的由两部分组成：token的类型（“JWT”）和算法名称（好比：HMAC SHA256或者RSA等等）。
例如：
而后，用Base64对这个JSON编码就获得JWT的第一部分

 

Payload
JWT的第二部分是payload，它包含声明（要求）。声明是关于实体(一般是用户)和其余数据的声明。声明有三种类型: registered, public 和 private。

Registered claims : 这里有一组预约义的声明，它们不是强制的，可是推荐。好比：iss (issuer), exp (expiration time), sub (subject), aud (audience)等。
Public claims : 能够随意定义。
Private claims : 用于在赞成使用它们的各方之间共享信息，而且不是注册的或公开的声明。

对payload进行Base64编码就获得JWT的第二部分

注意，不要在JWT的payload或header中放置敏感信息，除非它们是加密的。
 
Signature
为了获得签名部分，你必须有编码过的header、编码过的payload、一个秘钥，签名算法是header中指定的那个，然对它们签名便可。
例如：

HMACSHA256(base64UrlEncode(header) + "." + base64UrlEncode(payload), secret)

签名是用于验证消息在传递过程当中有没有被更改，而且，对于使用私钥签名的token，它还能够验证JWT的发送方是否为它所称的发送方。

典型模块以下：

// Header
{
"alg": "HS256",
"typ": "JWT"
}
 
 
// Payload
{
// reserved claims
"sub": "1234567890",
"name": "John Doe",
"iat": "1516239022"
}
 
 
// $Signature
HS256(Base64(Header) + "." + Base64(Payload), "自定义密钥kyey" )
 
 
// JWT
JWT = Base64(Header) + "." + Base64(Payload) + "." + $Signature

4.具体实现

public static String createJWT(Object subject, long ttlMillis) {
    //设置签名算法为HS256
    SignatureAlgorithm signatureAlgorithm = SignatureAlgorithm.HS256;
    long nowMillis = System.currentTimeMillis();
    Date now = new Date(nowMillis);
    JwtBuilder builder = Jwts.builder().setId("jwt").setIssuedAt(now).setSubject(JSONObject.toJSONString(subject)).signWith(signatureAlgorithm, secretKey);
    //设置过时时间
    if (ttlMillis >= 0L) {
        long expMillis = nowMillis + ttlMillis;
        Date exp = new Date(expMillis);
        builder.setExpiration(exp);
    }
    //生成jwt
    return builder.compact();
}

具体compact()方法即根据传入的参数进行处理  最终获得jwt的字符串

eyJhbGci**I1NiJ9.eyJqdGkiOiJqd3QiL**DY2NTMxOH0.x9fNW**2fe4ht