当用户第一次请求的时候，系统会创建一个专属此用户的session,后续来不同的用户，一次创建不同的session。当浏览器第一次访问系统的时候，系统会以cookie的方式为浏览器设置要给sessionId,每个用户对应一个sessionId。后续发起请求的时候，默认会携带这个sessionId进行认证

验证流程

Springboot整合JWT_用户名

问题

每个用户都要经过系统认证，认证之后都要在服务端保存一个session ,随着用户的增加，服务端开销明显增大
验证之后session保存在了当前登录的服务端，如果涉及到分布应用，限制了负载均衡的能力，极大增加了应用扩展力难度
因为是基于cookie进行用户识别的，所以如果cookie被截获，用户很容易受到跨站请求伪造攻击

4.基于jwt的认证

Springboot整合JWT_用户名_02

系统通过前端传过来的用户名和密码进行验证，成功后将用户的id等其他信息放在jwt payload,将payload和header分别进行Base64编码拼接后签名；

形成一个jwt,是一个xxxxx.yyyyy.zzzzz字符串。后端将这个jwt放回给前端。

前端可以将此jwt保存在localStorage或者sessionStorage上，退出登录时前端删除保存的jwt即可；

前端请求时候携带jwt,进行验证jwt的有效性，通过后返回相应结果。

5.jwt结构

jwt由Header、Payload、Signature三部分组成，中间用.分开，即xxxxx.yyyyy.zzzzz

heder

头部分由令牌类型(即JWT)和所使用的签名算法，例如HMAC,SHA256,RSA,通过BASE64编码将组成jwt结构的第一部分

{
  "alg": "HS256",
  "typ": "JWT"
}

Payload

第二部分是有效负载声明，包含用户数据和其他相关的数据声明，同样会使用base64编码组成JWT结构的第二部分；因为base64编码后是可以解码的，所以在payload中不要存放用户密码

{
  "sub": "1234567890",
  "name": "John Doe",
  "admin": true
}

Signature

前面两部分是使用base64进行编码，即前端可以解开知道里面的信息，Signature需要使用编码后的heder和Payload以及我们提供一个密钥，然后使用header中指定的签名算法进行签名，签名保证jwt没有被篡改

6.使用jwt

6.1 引入依赖

<dependency>
    <groupId>com.auth0</groupId>
    <artifactId>java-jwt</artifactId>
    <version>3.10.3</version>
</dependency>

6.2 生成token以及根据令牌和签名解析数据

public class JWTUtil {

    //密钥
    private static String KEY="12R48!UIE_E";

    /**
     * 生成token
     * @param map 传入payload
     * @return token
     */
    public static String getToken(Map<String,String> map){
        JWTCreator.Builder builder = JWT.create();
        map.forEach((k,v)->{
            builder.withClaim(k,v);
        });
        Calendar instance = Calendar.getInstance();
        instance.add(Calendar.DATE,7);
        builder.withExpiresAt(instance.getTime());
        return builder.sign(Algorithm.HMAC256(KEY));
    }

    /**
     * 根据令牌和签名解析数据，返回验签之后的结果 验签失败 抛出异常
     * 
     * SignatureVerificationException 签名不一致
     * TokenExpiredException 令牌过期
     * AlgorithmMismatchException 算法不匹配
     * InvalidClaimException 失败的payload异常
     * 
     * @param token 解码之后的token 包含可以使用的信息
     * @return
     */
    public static DecodedJWT verify(String token){
        return JWT.require(Algorithm.HMAC256(KEY)).build().verify(token);
    }
}

二 Springboot整合jwt

结合拦截器对每个接口验证

拦截器

Springboot整合JWT_服务端_03

配置

Springboot整合JWT_服务端_04

业务操作

@PutMapping
    public Map<String,Object> test(HttpServletRequest request){
        Map<String,Object> map= new HashMap<>();
        String token = request.getHeader("token");
        DecodedJWT verify = JwtUtil(token);
        System.out.println("用户id:"+verify.getClaim("id").asString());
        System.out.println("用户名:"+verify.getClaim("name").asString());
        //自己逻辑业务处理
        map.put("state",true);
        map.put("msg","请求成功");
        return map;
    }