jwt springboot

JWT（JSON Web Token）是一种开放标准（RFC 7519），用于在网络应用环境间安全地传输信息。它是一种基于JSON的开放标准（RFC 7519），用于在网络应用环境间安全地将信息作为JSON对象传输。JWT通常用于身份验证和授权。

JWT的基础概念

JWT由三部分组成：头部（Header）、载荷（Payload）和签名（Signature），这三部分通过.分隔。

Header：通常包含两部分：令牌的类型（即JWT）和所使用的签名算法。
Payload：包含声明（claims），声明是关于实体（通常是用户）和其他数据的声明。
Signature：用于验证消息在此过程中没有被更改，并且，对于使用私钥签名的令牌，它还可以验证JWT的发送方是否是它所声称的发送方。

JWT的优势

无状态：服务器不需要保存会话信息，这有助于扩展性。
安全性：通过签名确保数据不被篡改。
跨域支持：由于JWT是无状态的，它可以轻松地在不同的域之间传递。

JWT的类型

访问令牌（Access Token）：用于访问资源服务器上的受保护资源。
刷新令牌（Refresh Token）：用于获取新的访问令牌。

应用场景

单点登录（SSO）：用户在一个应用中登录后，可以在其他应用中自动登录。
API认证：客户端通过JWT访问API资源。
移动应用认证：移动应用可以使用JWT来验证用户身份。

在Spring Boot中使用JWT

以下是一个简单的示例，展示如何在Spring Boot应用中实现JWT认证。

依赖添加

首先，在pom.xml中添加JWT依赖：

<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt</artifactId>
    <version>0.9.1</version>
</dependency>

JWT工具类

创建一个工具类来生成和验证JWT：

import io.jsonwebtoken.Claims;
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;
import java.util.Date;

public class JwtUtil {
    private static final String SECRET_KEY = "secret";

    public static String generateToken(String username) {
        return Jwts.builder()
                .setSubject(username)
                .setIssuedAt(new Date())
                .setExpiration(new Date(System.currentTimeMillis() + 1000 * 60 * 60 * 10)) // 10小时
                .signWith(SignatureAlgorithm.HS256, SECRET_KEY)
                .compact();
    }

    public static boolean validateToken(String token, String username) {
        final String extractedUsername = getUsernameFromToken(token);
        return (extractedUsername.equals(username) && !isTokenExpired(token));
    }

    private static String getUsernameFromToken(String token) {
        return Jwts.parser().setSigningKey(SECRET_KEY).parseClaimsJws(token).getBody().getSubject();
    }

    private static boolean isTokenExpired(String token) {
        final Date expiration = getExpirationDateFromToken(token);
        return expiration.before(new Date());
    }

    private static Date getExpirationDateFromToken(String token) {
        return Jwts.parser().setSigningKey(SECRET_KEY).parseClaimsJws(token).getBody().getExpiration();
    }
}

控制器示例

在控制器中使用JWT进行认证：

import org.springframework.web.bind.annotation.*;

@RestController
@RequestMapping("/api")
public class AuthController {

    @PostMapping("/login")
    public String login(@RequestParam String username, @RequestParam String password) {
        // 这里应该有验证用户名和密码的逻辑
        if ("user".equals(username) && "password".equals(password)) {
            return JwtUtil.generateToken(username);
        }
        return "Invalid credentials";
    }

    @GetMapping("/protected")
    public String protectedEndpoint(@RequestHeader("Authorization") String token) {
        if (token != null && token.startsWith("Bearer ")) {
            token = token.substring(7);
            if (JwtUtil.validateToken(token, "user")) {
                return "Access granted";
            }
        }
        return "Access denied";
    }
}