JWT库生成Token的使用与原理

码农UP2U

修改于 2021-02-03 20:01:27

10.7K0

修改于 2021-02-03 20:01:27

文章被收录于专栏：码农UP2U

现在开发前后端分离的系统或者开发 APP 的项目时，在验证用户是否登录时都会使用 Token 的方式，使用 Token 也是为系统后续可以进行拆分的第一步。

Token 的生成规则可以任意，只要最终可以通过 Token 去匹配到合适的用户即可。不过我们可以使用 JWT 类库来帮助我们生成 Token。JWT 是 Json Web Token 的意思，是一种通过 Json 格式在 Web 中进行传递的 Token。

JWT 的使用

先来看看关于 JWT 的使用，它的使用是比较简单的。

创建一个 Spring Boot 的项目，然后引入 JWT 的依赖，依赖如下：

<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt</artifactId>
    <version>0.7.0</version>
</dependency>

然后创建一个 Util，用来生成 Token，代码如下：

public static String createToken(String subject)
{
    return Jwts.builder()
                .setSubject(subject)
                .signWith(SignatureAlgorithm.HS256, secret)
                .compact();
}

方法中，subject 就是要生成 token 的值，比如这里可以是用户名、用户 ID 等。signWith 是设置一个签名的算法，其中 HS256 是 HMAC-SHA256，HMAC 是基于哈希的消息验证码，SHA256 是一种哈希算法。secret 是我们自己定义的一个密钥，这个密钥很重要。

调用 createToken 就可以生成 Token 了，写一个单元测试，代码如下：

String name = "木瓜";
String token = TokenUtil.createToken(name);
System.out.println("木瓜的token:" + token);
name = "西瓜";
token = TokenUtil.createToken(name);
System.out.println("西瓜的token:" + token);

运行它，输出如下：

木瓜的token:eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiLmnKjnk5wifQ.PmD4oa5OeA9p0TKr076UgO95WoNhyr2Yk1pAdgfqG3s
西瓜的token:eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiLopb_nk5wifQ.HcPdzxH0IFcyr_m0QZMPiX18dToPh07fQn4pDMWxdi0

可以看出，两个不同的 name 生成了不同的 Token。

我们同样可以使用 JWT 类库来对 Token 进行验证，代码如下：

public static String parseToken(String token)
{
    Claims body = null;
    try {
        body = Jwts.parser().setSigningKey(secret).parseClaimsJws(token).getBody();    
    } catch (io.jsonwebtoken.ExpiredJwtException e) {
        return e.getMessage();    
    }
    return body.getSubject();
}

修改单元测试的代码，代码如下：

String name = "木瓜";
String token = TokenUtil.createToken(name);
System.out.println("木瓜的token:" + token);
System.out.println("parseToken:" + TokenUtil.parseToken(token));
name = "西瓜";
token = TokenUtil.createToken(name);
System.out.println("西瓜的token:" + token);
System.out.println("parseToken:" + TokenUtil.parseToken(token));

运行结果如下：

木瓜的token:eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiLmnKjnk5wifQ.PmD4oa5OeA9p0TKr076UgO95WoNhyr2Yk1pAdgfqG3s
parseToken:木瓜
西瓜的token:eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiLopb_nk5wifQ.HcPdzxH0IFcyr_m0QZMPiX18dToPh07fQn4pDMWxdi0
parseToken:西瓜

可以看到，我们的 name 被还原回来了，这样就可以进行验证匹配了。

JWT 还可以设置 Token 的过期时间等，那些就不再描述了。

JWT 的原理

JWT 的原理其实并不复杂，简单的看一眼代码，并给出它的原理。

在介绍其原理之前，先使用一个在线工具来对 JWT 生成的 Token 进行一下解密，如下图。

可以看出，我们的 Token 被还原了。我们的签名算法和名字都被解析了出来。慌吗？这是什么情况呢！

上面 JWT 生成的 Token 包含三部分，并使用“点”号分隔。使用前面的 Token 来进行说明，Token 如下：

eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiLmnKjnk5wifQ.PmD4oa5OeA9p0TKr076UgO95WoNhyr2Yk1pAdgfqG3s

上面的 Token 实际分为三部分，分别如下：

eyJhbGciOiJIUzI1NiJ9eyJzdWIiOiLmnKjnk5wifQPmD4oa5OeA9p0TKr076UgO95WoNhyr2Yk1pAdgfqG3s

上面每行代表一部分，第一行表示签名算法，第二行是我们的用户名或用户ID，第三行是签名。

第一部分和第二部分是用 base64 算法进行编码的，只要通过 base64 的解码算法进行解码就可以得到相关的内容，解码如下。

从图中可以看出，对第一部分和第二部分进行解码后，都是一个 Json 串。

第三部分是对第一部分加第二部分内容的一个签名。

大体流程如下图。

大致来看一下源码。回顾 JWT 生成 Token 的方法，代码如下：

return Jwts.builder()
        .setSubject(subject)
        .signWith(SignatureAlgorithm.HS256, secret)
        .compact();

我们关键来看 signWith 和 compact 两个方法。

先来看一下 signWith 方法，代码如下：

public JwtBuilder signWith(SignatureAlgorithm alg, byte[] secretKey) {
    Assert.notNull(alg, "SignatureAlgorithm cannot be null.");
    Assert.notEmpty(secretKey, "secret key byte array cannot be null or empty.");
    Assert.isTrue(alg.isHmac(), "Key bytes may only be specified for HMAC signatures.  If using RSA or Elliptic Curve, use the signWith(SignatureAlgorithm, Key) method instead.");
    this.algorithm = alg;
    this.keyBytes = secretKey;
    return this;
}

public JwtBuilder signWith(SignatureAlgorithm alg, String base64EncodedSecretKey) {
    Assert.hasText(base64EncodedSecretKey, "base64-encoded secret key cannot be null or empty.");
    Assert.isTrue(alg.isHmac(), "Base64-encoded key bytes may only be specified for HMAC signatures.  If using RSA or Elliptic Curve, use the signWith(SignatureAlgorithm, Key) method instead.");
    byte[] bytes = TextCodec.BASE64.decode(base64EncodedSecretKey);
    return this.signWith(alg, bytes);
}

上面的代码主要就是设置了签名算法和 secretKey，secretKey 使用 base64 解码算法，除此并没有太多的处理。

再来看一下 compact 方法，代码如下：

public String compact() {
    if (this.payload == null && Collections.isEmpty(this.claims)) {
        throw new IllegalStateException("Either 'payload' or 'claims' must be specified.");
    } else if (this.payload != null && !Collections.isEmpty(this.claims)) {
        throw new IllegalStateException("Both 'payload' and 'claims' cannot both be specified. Choose either one.");
    } else if (this.key != null && this.keyBytes != null) {
        throw new IllegalStateException("A key object and key bytes cannot both be specified. Choose either one.");
    } else {
        Header header = this.ensureHeader();
        Key key = this.key;
        if (key == null && !Objects.isEmpty(this.keyBytes)) {
            // 生成了key
            key = new SecretKeySpec(this.keyBytes, this.algorithm.getJcaName());
        }

        Object jwsHeader;
        if (header instanceof JwsHeader) {
            jwsHeader = (JwsHeader)header;
        } else {
            jwsHeader = new DefaultJwsHeader(header);
        }

        if (key != null) {
            ((JwsHeader)jwsHeader).setAlgorithm(this.algorithm.getValue());
        } else {
            ((JwsHeader)jwsHeader).setAlgorithm(SignatureAlgorithm.NONE.getValue());
        }

        if (this.compressionCodec != null) {
            ((JwsHeader)jwsHeader).setCompressionAlgorithm(this.compressionCodec.getAlgorithmName());
        }

        // 对{"alg": "HS256"}进行base64编码
        String base64UrlEncodedHeader = this.base64UrlEncode(jwsHeader, "Unable to serialize header to json.");
        String base64UrlEncodedBody;
        if (this.compressionCodec != null) {
            byte[] bytes;
            try {
                bytes = this.payload != null ? this.payload.getBytes(Strings.UTF_8) : this.toJson(this.claims);
            } catch (JsonProcessingException var9) {
                throw new IllegalArgumentException("Unable to serialize claims object to json.");
            }

            base64UrlEncodedBody = TextCodec.BASE64URL.encode(this.compressionCodec.compress(bytes));
        } else {
            // 对{"sub": "木瓜"}进行base64编码
            base64UrlEncodedBody = this.payload != null ? TextCodec.BASE64URL.encode(this.payload) : this.base64UrlEncode(this.claims, "Unable to serialize claims object to json.");
        }

        // 两个base64字符串拼接
        String jwt = base64UrlEncodedHeader + '.' + base64UrlEncodedBody;
        if (key != null) {
            // 生成签名
            JwtSigner signer = this.createSigner(this.algorithm, (Key)key);
            String base64UrlSignature = signer.sign(jwt);
            // 拼接字符串
            jwt = jwt + '.' + base64UrlSignature;
        } else {
            jwt = jwt + '.';
        }

        return jwt;
    }
}

以上就是 JWT 生成 Token 的流程了。整个代码流程并不复杂。

总结

JWT 生成 Token 的流程比较简单的，通过 base64 解码算法也可以轻松的拿到原始数据和签名算法。对于 JWT 库，不但可以对原始数据和签名算法进行还原，也会根据提前预定的 secret 来验证签名，确保数据没有被篡改。看了 JWT 后可能觉得，这个东西没有加密，的确是这样的。JWT 中的签名也是通常意义上的签名，只用来保证数据的完整性、抗抵赖性的，并不是起加密作用的。而对于签名算法中最为重要的 secret 可以使用暴力破解的方式来进行猜测，一旦猜测成功，JWT 就不安全了。

本文参与腾讯云自媒体同步曝光计划，分享自微信公众号。

原始发表：2021-02-01，如有侵权请联系 cloudcommunity@tencent.com 删除

json