springboot+jwt做api的token认证

2018-12-17 10:46:54来源：博客园阅读 ()

本篇和大家分享jwt(json web token)的使用，她主要用来生成接口访问的token和验证，其单独结合springboot来开发api接口token验证很是方便，由于jwt的token中存储有用户的信息并且有加密，所以适用于分布式，这样直接吧信息存储在用户本地减速了服务端存储sessiion或token的压力；如下快速使用：

 1 <!--jwt-->
 2 <dependency>
 3     <groupId>io.jsonwebtoken</groupId>
 4     <artifactId>jjwt</artifactId>
 5     <version>0.9.0</version>
 6 </dependency>
 7 <!--阿里 FastJson依赖-->
 8 <dependency>
 9     <groupId>com.alibaba</groupId>
10     <artifactId>fastjson</artifactId>
11     <version>1.2.44</version>
12 </dependency>

一般使用jwt来达到3种结果：

生成token
验证token是否有效
获取token中jwt信息（主要用户信息）

生成token

引入了jjwt依赖后，要生成token很方便；对于一个token来说，代表的是唯一并且不可逆的，因此我们在生成时需要增加一些唯一数据进去，比如下面的id：

 1 long currentTime = System.currentTimeMillis();
 2 return Jwts.builder()
 3         .setId(UUID.randomUUID().toString())
 4         .setIssuedAt(new Date(currentTime))  //签发时间
 5         .setSubject("system")  //说明
 6         .setIssuer("shenniu003") //签发者信息
 7         .setAudience("custom")  //接收用户
 8         .compressWith(CompressionCodecs.GZIP)  //数据压缩方式
 9 
10         .signWith(SignatureAlgorithm.HS256, encryKey) //加密方式
11         .setExpiration(new Date(currentTime + secondTimeOut * 1000))  //过期时间戳
12         .addClaims(claimMaps) //cla信息
13         .compact();

通过uuid来标记唯一id信息；当然在对token加密时需要用到秘钥，jwt很是方便她支持了很多中加密方式如：HS256，HS265，Md5等复杂及常用的加密方式；

jwt生成的token中内容分为3个部分：head信息，payload信息，sign信息，通常我们要做的是往payload增加一些用户信息（比如：账号，昵称，权限等，但不包含密码）；在对jwt的token有一定了解后，我们来看下真实生成的token值：

1 eyJhbGciOiJIUzI1NiIsInppcCI6IkdaSVAifQ.H4sIAAAAAAAAAFWMTQ7CIBSE7_LWkPDzaEsP4QnYINCIptX4INE0vbtg4sLlfPPN7HAtGWbwg1BKL4GrcbEcIwpujZF8iiEpjXFapAAG2ReYpUEcR2VxYED13Nb0ppLW3hP1eEnblqsQuiFfY0OhUrl3I70evweU_aFSejZhd7DlcDv5NTmYHUilHTD3rf_hAccHRTv--7YAAAA.i4xwoQtaWI0-dwHWN8uZ4DBm-vfli5bavYU9lRYxU5E

验证token是否有效

token生成的时都会伴随者有一个失效的时间，在这我们可以通过setExpiration函数设置过期时间，记住jwt的有效时间不是滑动的，也就是说不做任何处理时，当到达第一次设置的失效时间时，就基本没用了，要获取token是否过期可以使用如下方式：

1 public static boolean isExpiration(String token, String encryKey) {
2     try {
3         return getClaimsBody(token, encryKey)
4                 .getExpiration()
5                 .before(new Date());
6     } catch (ExpiredJwtException ex) {
7         return true;
8     }
9 }

这里使用了date的before来用获取的过期时间和当前时间对比，判断是否继续有效，需要注意的是如果在token失效后再通过getClaimsBody(token, encryKey)获取信息，此时会报ExpiredJwtException错误，我们即可认为过期。

获取token中jwt信息（主要用户信息）

通常我们要把登录用户信息存储在jwt生成的token中，这里可以通过 addClaims(claimMaps) 传递map来设置信息，反过来要获取token中的用户信息，我们需要这样做：

1 return Jwts.parser()
2         .setSigningKey(encryKey)
3         .parseClaimsJws(token)
4         .getBody();

此时body获取出来是Claims类型，我们需要从中获取到用户信息，需要注意的是在addClaims存储信息的时候如果存储的map值没做过出来，那完整的实体对象存储进去后会映射成一个LinkHasMap类型，如下：

因此通常会在存储的时候json化，如下代码：

1 claimMaps.forEach((key, val) -> {
2     claimMaps.put(key, JSON.toJSONString(val));
3 });

再来就是通过get方法获取我们存储进去的信息，并json反序列化：

 1 /**
 2 * 获取body某个值
 3 *
 4 * @param token
 5 * @param encryKey
 6 * @param key
 7 * @return
 8 */
 9 public static Object getVal(String token, String encryKey, String key) {
10     return getJws(token, encryKey).getBody().get(key);
11 }
12 
13 /**
14  * 获取body某个值，json字符转实体
15  *
16  * @param token
17  * @param encryKey
18  * @param key
19  * @param tClass
20  * @param <T>
21  * @return
22  */
23 public static <T> T getValByT(String token, String encryKey, String key, Class<T> tClass) {
24     try {
25         String strJson = getVal(token, encryKey, key).toString();
26         return JSON.parseObject(strJson, tClass);
27     } catch (Exception ex) {
28         return null;
29     }
30 }

来到这里一个Jwt的Util代码基本就完成了，下面给出完整的代码例子，仅供参考：

  1 public class JwtUtil {
  2 
  3     /**
  4      * 获取token - json化 map信息
  5      *
  6      * @param claimMaps
  7      * @param encryKey
  8      * @param secondTimeOut
  9      * @return
 10      */
 11     public static String getTokenByJson(Map<String, Object> claimMaps, String encryKey, int secondTimeOut) {
 12         return getToken(claimMaps, true, encryKey, secondTimeOut);
 13     }
 14 
 15     /**
 16      * 获取token
 17      *
 18      * @param claimMaps
 19      * @param isJsonMpas
 20      * @param encryKey
 21      * @param secondTimeOut
 22      * @return
 23      */
 24     public static String getToken(Map<String, Object> claimMaps, boolean isJsonMpas, String encryKey, int secondTimeOut) {
 25 
 26         if (isJsonMpas) {
 27             claimMaps.forEach((key, val) -> {
 28                 claimMaps.put(key, JSON.toJSONString(val));
 29             });
 30         }
 31         long currentTime = System.currentTimeMillis();
 32         return Jwts.builder()
 33                 .setId(UUID.randomUUID().toString())
 34                 .setIssuedAt(new Date(currentTime))  //签发时间
 35                 .setSubject("system")  //说明
 36                 .setIssuer("shenniu003") //签发者信息
 37                 .setAudience("custom")  //接收用户
 38                 .compressWith(CompressionCodecs.GZIP)  //数据压缩方式
 39 
 40                 .signWith(SignatureAlgorithm.HS256, encryKey) //加密方式
 41                 .setExpiration(new Date(currentTime + secondTimeOut * 1000))  //过期时间戳
 42                 .addClaims(claimMaps) //cla信息
 43                 .compact();
 44     }
 45 
 46     /**
 47      * 获取token中的claims信息
 48      *
 49      * @param token
 50      * @param encryKey
 51      * @return
 52      */
 53     private static Jws<Claims> getJws(String token, String encryKey) {
 54         return Jwts.parser()
 55                 .setSigningKey(encryKey)
 56                 .parseClaimsJws(token);
 57     }
 58 
 59     public static String getSignature(String token, String encryKey) {
 60         try {
 61             return getJws(token, encryKey).getSignature();
 62         } catch (Exception ex) {
 63             return "";
 64         }
 65     }
 66 
 67     /**
 68      * 获取token中head信息
 69      *
 70      * @param token
 71      * @param encryKey
 72      * @return
 73      */
 74     public static JwsHeader getHeader(String token, String encryKey) {
 75         try {
 76             return getJws(token, encryKey).getHeader();
 77         } catch (Exception ex) {
 78             return null;
 79         }
 80     }
 81 
 82     /**
 83      * 获取payload body信息
 84      *
 85      * @param token
 86      * @param encryKey
 87      * @return
 88      */
 89     public static Claims getClaimsBody(String token, String encryKey) {
 90         return getJws(token, encryKey).getBody();
 91     }
 92 
 93     /**
 94      * 获取body某个值
 95      *
 96      * @param token
 97      * @param encryKey
 98      * @param key
 99      * @return
100      */
101     public static Object getVal(String token, String encryKey, String key) {
102         return getJws(token, encryKey).getBody().get(key);
103     }
104 
105     /**
106      * 获取body某个值，json字符转实体
107      *
108      * @param token
109      * @param encryKey
110      * @param key
111      * @param tClass
112      * @param <T>
113      * @return
114      */
115     public static <T> T getValByT(String token, String encryKey, String key, Class<T> tClass) {
116         try {
117             String strJson = getVal(token, encryKey, key).toString();
118             return JSON.parseObject(strJson, tClass);
119         } catch (Exception ex) {
120             return null;
121         }
122     }
123 
124     /**
125      * 是否过期
126      *
127      * @param token
128      * @param encryKey
129      * @return
130      */
131     public static boolean isExpiration(String token, String encryKey) {
132         try {
133             return getClaimsBody(token, encryKey)
134                     .getExpiration()
135                     .before(new Date());
136         } catch (ExpiredJwtException ex) {
137             return true;
138         }
139     }
140 
141     public static String getSubject(String token, String encryKey) {
142         try {
143             return getClaimsBody(token, encryKey).getSubject();
144         } catch (Exception ex) {
145             return "";
146         }
147     }
148 }

View Code

过滤器验证token

有了基本的JwtUtil工具，我们需要用到springboot项目中，一般来说对于登录授权token验证可以通过过滤器来操作，这里创建一个AuthenFilter，用于对post请求过来的token做验证：

 1 public class AuthenFilter implements Filter {
 2     @Override
 3     public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException {
 4 
 5         HttpServletRequest rq = (HttpServletRequest) servletRequest;
 6         HttpServletResponse rp = (HttpServletResponse) servletResponse;
 7         RpBase rpBase = new RpBase();
 8         try {
 9             //只接受post
10             if (!rq.getMethod().equalsIgnoreCase("post")) {
11                 filterChain.doFilter(servletRequest, servletResponse);
12                 return;
13             }
14 
15             String token = rq.getHeader("token");
16             if (StringUtils.isEmpty(token)) {
17                 rpBase.setMsg("无token");
18                 return;
19             }
20 
21             //jwt验证
22             MoUser moUser = JwtUtil.getValByT(token, WebConfig.Token_EncryKey, WebConfig.Login_User, MoUser.class);
23             if (moUser == null) {
24                 rpBase.setMsg("token已失效");
25                 return;
26             }
27 
28             System.out.println("token用户：" + moUser.getNickName());
29 
30             filterChain.doFilter(servletRequest, servletResponse);
31         } catch (Exception ex) {
32         } finally {
33             if (!StringUtils.isEmpty(rpBase.getMsg())) {
34                 rp.setCharacterEncoding("utf-8");
35                 rpBase.setCode(HttpStatus.BAD_REQUEST.value());
36                 rp.getWriter().write(JSON.toJSONString(rpBase));
37             }
38         }
39     }
40 }

要是自定义过滤器AuthenFilter生效，还需要把她注册到容器中，这里通过编码方式，当然还可以通过@WebFilter注解来加入到容器中：

 1 @Configuration
 2 public class WebFilterConfig {
 3 
 4     @Bean
 5     public FilterRegistrationBean setFilter() {
 6 
 7         FilterRegistrationBean registrationBean = new FilterRegistrationBean();
 8         registrationBean.setFilter(new AuthenFilter());
 9         registrationBean.addUrlPatterns("/api/*");
10         registrationBean.setOrder(FilterRegistrationBean.LOWEST_PRECEDENCE);
11 
12         return registrationBean;
13     }
14 }

注意addUrlPatterns匹配的是过滤器作用的url连接，根据需求而定；为了验证效果，这里我创建了两个接口getToken和t0，分别是获取token和post查询接口，代码如是：

 1 @RestController
 2 public class TestController {
 3 
 4     @PostMapping("/api/t0")
 5     public String t0() throws MyException {
 6 
 7         return UUID.randomUUID().toString();
 8     }
 9 
10     @GetMapping("/token/{userName}")
11     public String getToken(@PathVariable String userName) {
12 
13         MoUser moUser = new MoUser();
14         moUser.setUserName(userName);
15         moUser.setNickName(userName);
16 
17         Map<String, Object> map = new HashMap<>();
18         map.put(WebConfig.Login_User, moUser);
19 
20         return JwtUtil.getTokenByJson(map,
21                 WebConfig.Token_EncryKey,
22                 WebConfig.Token_SecondTimeOut);
23     }
24 }