Java 有token 和无token接口请求 java web token

1、什么是JWT（代码demo在最下面，可以先代码后理解）：

1.1、Json web token（JWT）是为了网络应用环境间传递声明而执行的一种基于JSON的开发标准（RFC 7519），该token被设计为紧凑且安全的，特别适用于分布式站点的单点登陆（SSO）场景。JWT的声明一般被用来在身份提供者和服务提供者间传递被认证的用户身份信息，以便于从资源服务器获取资源，也可以增加一些额外的其它业务逻辑所必须的声明信息，该token也可直接被用于认证，也可被加密，
因为json的通用性，所以JWT是可以跨语言支持的，像C#，JavaScript，NodeJS，PHP等许多语言都可以使用。

2、JWT生成的token：

eyJhbGciOiJIUzI1NiIsInR5cGUiOiJ4dWFuIn0.eyJleHAiOjE1NjE0Njc5MjYsIm5hbWUiOiLovakiLCJpYXQiOjE1NjE0Njc4NjZ9.ZSCwKCO558ENvCV0mA2J8KSEKOgdPg1JNSK7JKguE7s

3、JWT消息构成：

第一部分我们称它为头部（header）第二部分我们称其为载荷（payload，类似于承载的物品），第三部分是签证（signature）
其他具体详解继续往下看

4、头部（header）JWT的头部承载两部分（key以及value）信息：

4.1、先看下图代码：

第一个put的key为类型value为JWT类型

第二个put的key为加密的算法参数value为HS256算法

各种算法如下图所示自行选择就好：

然后将头部进行base64加密（该加密是可以对称解密的），构成了第一部分

第一部分：eyJhbGciOiJIUzI1NiIsInR5cGUiOiJ4dWFuIn0

5、载荷 （playload）载荷就是存放有效信息的地方，这些（key以及value）有效信息包含三个部分：

5.1、先看下图代码（这里只用到了签发者以及面向的用户的声明）：

标准中注册可以使用的声明 (可用可不用)：

注意这个载荷也是可以自定义key和value的，就如同我们想存什么声明就存什么声明一样（看以下代码div的key键及value值）

String token = JWT.create()
				.withHeader(map)//头部 header
                .withClaim("iss", "Xuan") // 载荷 payload 签发者
                .withClaim("aud", "All")//面向的用户
                .withClaim("div","自定义");//自定义的key和value
				.withExpiresAt(expiresDate)//设置过期时间
				.withIssuedAt(iatDate)//设置签发时间 
				.sign(Algorithm.HMAC256(SECRET));//验签singtrue加密

然后将其载荷进行base64加密，得到jwt的第二部分
第二部分：eyJleHAiOjE1NjE0Njc5MjYsIm5hbWUiOiLovakiLCJpYXQiOjE1NjE0Njc4NjZ9

6、验签 （Signature） jwt的第三部分是一个签证信息，这个签证信息由三部分组成：

6.1、看红框标注的方法（参数SECRET是我们自定义的秘钥，可以理解为qq密码之类的）：

第一部分就是我们加密后得到的第一部分头部（header）

第二部分也是我们加密后得到的第二部分载荷（playload）

第三部分就是自定义的秘钥secred（这里指的第三部分暂时还是没有确定下来，要用这个秘钥配合第一部分和第二部分生成出来第三部分）

这个部分需要第一部分用“.”连接第二部分组成的字符串，然后通过header中声明的加密方式进行加我们自定义的秘钥（secret)组合加密，然后就构成了jwt的第三部分

第三部分：ZSCwKCO558ENvCV0mA2J8KSEKOgdPg1JNSK7JKguE7s

7、将这三部分用“.”连接成一个完整的字符串，构成了最终的JWT：

最终的JWT：eyJhbGciOiJIUzI1NiIsInR5cGUiOiJ4dWFuIn0.eyJleHAiOjE1NjE0Njc5MjYsIm5hbWUiOiLovakiLCJpYXQiOjE1NjE0Njc4NjZ9.ZSCwKCO558ENvCV0mA2J8KSEKOgdPg1JNSK7JKguE7s
第一部分：eyJhbGciOiJIUzI1NiIsInR5cGUiOiJ4dWFuIn0
第二部分：eyJleHAiOjE1NjE0Njc5MjYsIm5hbWUiOiLovakiLCJpYXQiOjE1NjE0Njc4NjZ9
第三部分：ZSCwKCO558ENvCV0mA2J8KSEKOgdPg1JNSK7JKguE7s

8、注意：secret是保存在服务器端的，JWT的签发也是在服务端的，secret就是用来进行JWT的签发和JWT的验证，所以它就是你服务端的私钥，在任何场景都不应该流露出去，一旦客户端得知这个secret，那就意味着客户端可以自我签发JWT了，代码如下，里面有具体解释，可以结合博客的讲解去理解代码从而理解JWT的生成规则：

7.1、maven依赖（这里使用的工具的eclipse的maven项目）：

<dependency>
	    	<groupId>com.auth0</groupId>
	    	<artifactId>java-jwt</artifactId>
	    	<version>3.1.0</version>
	    </dependency>

7.2、测试类：

package test;

public class test {

	public static void main(String[] args) {
		// TODO Auto-generated method stub
		System.out.println("测试获取token");
		try {
			String token = JwtToken.createToken();
			System.out.println(token);
		} catch (Exception e) {
			// TODO Auto-generated catch block
			e.printStackTrace();
		}
	}
}

7.3、对token进行加密的类：

package test;


import java.io.UnsupportedEncodingException;
import java.util.Calendar;
import java.util.Date;
import java.util.HashMap;
import java.util.Map;

import com.auth0.jwt.JWT;
import com.auth0.jwt.JWTVerifier;
import com.auth0.jwt.algorithms.Algorithm;
import com.auth0.jwt.exceptions.JWTCreationException;
import com.auth0.jwt.interfaces.Claim;
import com.auth0.jwt.interfaces.DecodedJWT;

/**
  * 对token进行加密的类
 * @author Xuan
 *
 */
public class JwtToken {
	/**
	  *  秘钥-保存在服务端,客户端是不会知道秘钥的,以防被攻击
	 */
	private static String SECRET = "xiaobaixuancsdn";
	
	/**
	  * 生成token
	 * @return
	 * @throws UnsupportedEncodingException 
	 * @throws JWTCreationException 
	 * @throws IllegalArgumentException 
	 */
	public static String createToken() throws Exception {
		//签发时间
		Date iatDate = new Date();
		Calendar nowTime = Calendar.getInstance();
		//设置过期时间 -1小时后过期
		nowTime.add(Calendar.MINUTE,1);
		//得到时间
		Date expiresDate = nowTime.getTime();
		//实例化组成头部header的map
		Map<String, Object> map = new HashMap<String, Object>();
		//声明类型，这里是jwt
		map.put("typ", "JWT");
		//声明加密的算法，通常直接使用HMAC SHA256
		map.put("alg", "HS256");
	    //plyload 载荷，可以理解为承载的物品
//		iss: jwt签发者
//
//		sub: jwt所面向的用户
//
//		aud: 接收jwt的一方
//
//		exp: jwt的过期时间，这个过期时间必须要大于签发时间
//
//		nbf: 定义在什么时间之前，该jwt都是不可用的.
//
//		iat: jwt的签发时间
//
//		jti: jwt的唯一身份标识，主要用来作为一次性token,从而回避重放攻击。
		String token = JWT.create()
				.withHeader(map)//头部 header
                .withClaim("iss", "Xuan") // 载荷 payload
                .withClaim("aud", "All")
				.withExpiresAt(expiresDate)//设置过期时间
				.withIssuedAt(iatDate)//设置签发时间 
				.sign(Algorithm.HMAC256(SECRET));//验签singtrue加密
		return token;
	}
	
	/**
	  * 解密token
	 * @param token
	 * @return
	 */
	public static Map<String, Claim> verifyToken(String token)throws Exception{
		JWTVerifier verify = JWT.require(Algorithm.HMAC256(SECRET)).build();
		DecodedJWT jwt = null;
		try {
			jwt = verify.verify(token);
		} catch (Exception e) {
			System.out.println("登录凭证已过去，请重新登录");
		}
		return jwt.getClaims();
	}
}