Java实现JsonWebToken登录

​ 本篇博文注重功能需求的实现,概念性的东西不多,所以想要多了解更全面的JWT 或者想要了解单点登录的实现原理及其他,可以移步其他博文.这里博主自己随便看了俩篇博文

• JWT

  • https://www.jianshu.com/p/abddaae52429
  • https://www.jianshu.com/p/344a3d5bbab6

• 单点登录

  • https://zhuanlan.zhihu.com/p/97301347
  • https://blog.csdn.net/IT_10000/article/details/80634471
  • https://www.cnblogs.com/suim1218/p/7699041.html

需求设计思路

• 用户登录,前端–>后端 传数据(id,name,password等等),存入数据库的password可能会被加密,因此前端传来的password也要加密.

• 在数据库中select,存在 即 在后端生成token 返回前端,不存在则response 用户或密码错误

• Header 头部

  • Token类型 和 加密算法. 常见的加密算法有 MD5、SHA、HMAC（ Hash Message Authentication Code）

• PayLoad 负载:

  • 存放有效的信息

    • 标注声明

      • iss(Issuser) --签发者
      • sub Subject – 面向主体
      • aud Audience – 接受方
      • exp Expiration time – 过期时间戳
      • nbf Not Before – 开始生效时间戳
      • iat(Issued at) – 签发时间
      • jti (JWT ID) – 唯一标识

    • 公共声明

      • 一般添加业务相关的必要信息，因为可解密，不建议敏感信息。

    • 私有声明

      • 提供者和消费者共同定义的声明，base64对称解密，不建议敏感信息

• Signature 签证:

  • base64 加密的header
  • base64 加密的payload
  • secret-密钥
    • 使用header中声明的加密算法对header和payload的加密字符串进行加盐secret组合加密.密钥保存在服务端,服务端根据密钥进行解密验证

idea + maven + postman(前端测试)

SpringBoot + Maven

jar包

    io.jsonwebtoken
    jjwt
    0.7.0

传值:User(用户信息)

import com.maoni.maoni_xdclass.model.entity.User;
import io.jsonwebtoken.Claims;
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;
import java.util.Date;


public class JWTUtils {
    
    private  static final long EXPIRE = 60000 * 60 * 24 * 7;

    
    private  static final String SECRET = "*******";

    
    private  static final String TOKEN_PREFIX = ""*******";";

    
    private  static final String SUBJECT = ""*******";";

    
    public static String genJsonWebToken(User user){
        String token = Jwts.builder().setSubject(SUBJECT)
                .claim("head_img",user.getHeadImg())
                .claim("id",user.getId())
                .claim("name",user.getName())
                .setIssuedAt(new Date())
                .setExpiration(new Date(System.currentTimeMillis() + EXPIRE))
                .signWith(SignatureAlgorithm.HS256,SECRET).compact();
        token = TOKEN_PREFIX + token;
        return token;
    }

    
    public static Claims checkJWT(String token){
        try{
            final  Claims claims = Jwts.parser().setSigningKey(SECRET)
                    .parseClaimsJws(token.replace(TOKEN_PREFIX,"")).getBody();
            return claims;
        }catch (Exception e){
            return null;
        }
    }
}

• 根据实际业务需求,实现用户login登录,若用户登录成功,返回一个token,若失败,则提醒用户,输入的用户名或者密码错误

String login(String root, String pwd);

@Override
public String login(String phone, String pwd) {
    //根据前端传过来的用户值查询表返回密码值
    User user= userMapper.login(phone,CommonUtils.MD5(pwd));
    if (user != null){
        //生成token令牌发给前端保存
        String token = JWTUtils.genJsonWebToken(user);
        return token;
    }else {
        return null;
    }
}

@RequestMapping("login")
public JsonData login(@RequestBody LoginRequest loginRequest){
    //登录验证,验证成功生成token返回
    String token = userService.login(loginRequest.getPhone(),loginRequest.getPwd());
    return token ==null?JsonData.buildError("账号或密码错误,请重新登录"):JsonData.buildSuccess(token);
}

• 通过前端传来的token值,查询用户个人信息
• 此处的重点在于前端传来的token值,后端解密获取用户id或者用户名,根据这些条件查询用户信息(发生在controller)

 
User findByUserId(Integer userId);

@Override
public User findByUserId(Integer userId) {
    return userMapper.findByUserId(userId);
}

@RequestMapping("find_by_token")
public JsonData findByUserToken(HttpServletRequest request){
    Integer userId = (Integer)request.getAttribute("user_id");
    if(userId ==null){
        return JsonData.buildError("查询失败");
    }
    User user =userService.findByUserId(userId);
    return JsonData.buildSuccess(user);
}

• 为什么前端发送请求的时候,需要使用HttpServletRequest request去接受请求对象呢???
• 还有为什么可以直接从request域中直接取出"user_id"呢?

提示: 思考中的东西涉及拦截器的概念,所有的未被放行的请求都是经过拦截器的.在请求发送给服务端后,拦截器做出拦截,将数据处理,解析生成controller层需要的数据.所以在这里拦截器就已经把token进行解密,将用户id或者用户信息放进request中…

后面可能再写一篇关于拦截器的实现功能…看起来比较简单,因为博主是个菜鸟,所以博文凑合看吧,若有写的不对的地方,敬请指出.谢谢