大家好,我是大尧。
以前写过一篇关于接口服务规范的文章,原文在此,里面关于安全性问题重点讲述了通过appid,appkey,timestamp,nonce以及sign来获取token,使用token来保障接口服务的安全。今天我们来讲述一种更加便捷的方式,使用jwt来生成token。
一、JWT是什么
JSON Web Token(JWT) 定义了一种紧凑且自包含的方式,用于在各方之间作为 JSON 对象安全地传输信息。该信息可以被验证和信任,因为它是经过数字签名的。JWT可以设置有效期。
JWT是一个很长的字符串,包含了Header,Playload和Signature三部分内容,中间用.进行分隔。
Headers
Headers部分描述的是JWT的基本信息,一般会包含签名算法和令牌类型,数据如下:
- {
- "alg": "RS256",
- "typ": "JWT"
- }
Playload
Playload就是存放有效信息的地方,JWT规定了以下7个字段,建议但不强制使用:
- iss: jwt签发者
- sub: jwt所面向的用户
- aud: 接收jwt的一方
- exp: jwt的过期时间,这个过期时间必须要大于签发时间
- nbf: 定义在什么时间之前,该jwt都是不可用的
- iat: jwt的签发时间
- jti: jwt的唯一身份标识,主要用来作为一次性token
除此之外,我们还可以自定义内容
- {
- "name":"Java旅途",
- "age":18
- }
Signature
Signature是将JWT的前面两部分进行加密后的字符串,将Headers和Playload进行base64编码后使用Headers中规定的加密算法和密钥进行加密,得到JWT的第三部分。
二、JWT生成和解析token
在应用服务中引入JWT的依赖
-
io.jsonwebtoken -
jjwt -
0.9.0 -
根据JWT的定义生成一个使用RSA算法加密的,有效期为30分钟的token
- public static String createToken(User user) throws Exception{
-
- return Jwts.builder()
- .claim("name",user.getName())
- .claim("age",user.getAge())
- // rsa加密
- .signWith(SignatureAlgorithm.RS256, RsaUtil.getPrivateKey(PRIVATE_KEY))
- // 有效期30分钟
- .setExpiration(DateTime.now().plusSeconds(30 * 60).toDate())
- .compact();
- }
登录接口验证通过后,调用JWT生成带有用户标识的token响应给用户,在接下来的请求中,头部携带token进行验签,验签通过后,正常访问应用服务。
- public static Claims parseToken(String token) throws Exception{
- return Jwts
- .parser()
- .setSigningKey(RsaUtil.getPublicKey(PUBLIC_KEY))
- .parseClaimsJws(token)
- .getBody();
- }
三、token续签问题
上面讲述了关于JWT验证的过程,现在我们考虑这样一个问题,客户端携带token访问下单接口,token验签通过,客户端下单成功,返回下单结果,然后客户端带着token调用支付接口进行支付,验签的时候发现token失效了,这时候应该怎么办?只能告诉用户token失效,然后让用户重新登录获取token?这种体验是非常不好的,oauth2在这方面做的比较好,除了签发token,还会签发refresh_token,当token过期后,会去调用refresh_token重新获取token,如果refresh_token也过期了,那么再提示用户去登录。现在我们模拟oauth2的实现方式来完成JWT的refresh_token。
思路大概就是用户登录成功后,签发token的同时,生成一个加密串作为refresh_token,refresh_token存放在redis中,设置合理的过期时间(一般会将refresh_token的过期时间设置的比较久一点)。然后将token和refresh_token响应给客户端。伪代码如下:
- @PostMapping("getToken")
- public ResultBean getToken(@RequestBody LoingUser user){
-
- ResultBean resultBean = new ResultBean();
- // 用户信息校验失败,响应错误
- if(!user){
- resultBean.fillCode(401,"账户密码不正确");
- return resultBean;
- }
- String token = null;
- String refresh_token = null;
- try {
- // jwt 生成的token
- token = JwtUtil.createToken(user);
- // 刷新token
- refresh_token = Md5Utils.hash(System.currentTimeMillis()+"");
- // refresh_token过期时间为24小时
- redisUtils.set("refresh_token:"+refresh_token,token,30*24*60*60);
- } catch (Exception e) {
- e.printStackTrace();
- }
-
- Map
map = new HashMap<>(); - map.put("access_token",token);
- map.put("refresh_token",refresh_token);
- map.put("expires_in",2*60*60);
- resultBean.fillInfo(map);
- return resultBean;
- }
客户端调用接口时,在请求头中携带token,在拦截器中拦截请求,验证token的有效性,如果验证token失败,则去redis中判断是否是refresh_token的请求,如果refresh_token验证也失败,则给客户端响应鉴权异常,提示客户端重新登录,伪代码如下:
- HttpHeaders headers = request.getHeaders();
- // 请求头中获取令牌
- String token = headers.getFirst("Authorization");
- // 判断请求头中是否有令牌
- if (StringUtils.isEmpty(token)) {
- resultBean.fillCode(401,"鉴权失败,请携带有效token");
- return resultBean;
- }
- if(!token.contains("Bearer")){
- resultBean.fillCode(401,"鉴权失败,请携带有效token");
- return resultBean;
- }
-
- token = token.replace("Bearer ","");
- // 如果请求头中有令牌则解析令牌
- try {
- Claims claims = TokenUtil.parseToken(token).getBody();
- } catch (Exception e) {
- e.printStackTrace();
- String refreshToken = redisUtils.get("refresh_token:" + token)+"";
- if(StringUtils.isBlank(refreshToken) || "null".equals(refreshToken)){
- resultBean.fillCode(403,"refresh_token已过期,请重新获取token");
- return resultbean;
- }
- }
refresh_token来换取token的伪代码如下:
- @PostMapping("refreshToken")
- public Result refreshToken(String token){
-
- ResultBean resultBean = new ResultBean();
- String refreshToken = redisUtils.get(TokenConstants.REFRESHTOKEN + token)+"";
- String access_token = null;
- try {
- Claims claims = JwtUtil.parseToken(refreshToken);
- String username = claims.get("username")+"";
- String password = claims.get("password")+"";
- LoginUser loginUser = new LoginUser();
- loginUser.setUsername(username);
- loginUser.setPassword(password);
- access_token = JwtUtil.createToken(loginUser);
- } catch (Exception e) {
- e.printStackTrace();
- }
- Map
map = new HashMap<>(); - map.put("access_token",access_token);
- map.put("refresh_token",token);
- map.put("expires_in",30*60);
- resultBean.fillInfo(map);
- return resultBean;
- }
通过上面的分析,我们简单的实现了token的签发,验签以及续签问题,JWT作为一个轻量级的鉴权框架,使用起来非常方便,但是也会存在一些问题,
- JWT的Playload部分只是经过base64编码,这样我们的信息其实就完全暴露了,一般不要将敏感信息存放在JWT中。
- JWT生成的token比较长,每次在请求头中携带token,导致请求偷会比较大,有一定的性能问题。
- JWT生成后,服务端无法废弃,只能等待JWT主动过期。
下面这段是我网上看到的一段关于JWT比较适用的场景:
- 有效期短
- 只希望被使用一次
比如,用户注册后发一封邮件让其激活账户,通常邮件中需要有一个链接,这个链接需要具备以下的特性:能够标识用户,该链接具有时效性(通常只允许几小时之内激活),不能被篡改以激活其他可能的账户,一次性的。这种场景就适合使用JWT。
本文转载自微信公众号「Java旅途」,可以通过以下二维码关注。转载本文请联系Java旅途公众号。