jwt 0.9.0（三）jwt客户端存储状态可行性分析，及Java代码案例

Jwt客户端存储状态可行性分析

1、前端首次访问后台，后台生成token，放在http header的Authorization里（官网推荐，可解决跨域cookie跨域问题），并且Authorization Type类型为Bearer，将token返回给前端。

2、后台生成token的过程，包括给token指定加密协议比如HS56，加密类型比如“JWT”，自定义数据比如uuid，还有最重要的是记得指定一个超级复杂的密钥，并且定期更换它，密钥用于jwt签名部分。还需要给jwt token指定一个合理的过期时间，这个也同样非常重要。

3、前端获取token后存储token，建议存入本地cookie。

4、前端再次发起后台API接口访问，此时需要带上token，也是放在http header中且Authorization Type类型为Bearer，后台需校验token的正确性后才可访问权限受限的API接口或其他资源。

先添加maven依赖

<dependency>

       <groupId>io.jsonwebtoken</groupId>

       <artifactId>jjwt</artifactId>

       <version>0.9.0</version>

</dependency>

<dependency>

       <groupId>org.apache.commons</groupId>

       <artifactId>commons-lang3</artifactId>

       <version>3.9</version>

</dependency>

JAVA代码案例

 package com.joyce.demo.jwt.controller;

 import java.util.Date;

 import java.util.HashMap;

 import java.util.Iterator;

 import java.util.Map;

 import java.util.Map.Entry;

 import javax.servlet.http.HttpServletRequest;

 import javax.servlet.http.HttpServletResponse;

 import org.apache.commons.lang3.StringUtils;

 import org.springframework.web.bind.annotation.RequestMapping;

 import org.springframework.web.bind.annotation.RestController;

 import io.jsonwebtoken.ExpiredJwtException;

 import io.jsonwebtoken.Jwts;

 import io.jsonwebtoken.MalformedJwtException;

 import io.jsonwebtoken.SignatureAlgorithm;

 import io.jsonwebtoken.SignatureException;

 import io.jsonwebtoken.UnsupportedJwtException;

 /**

  * jwt 官网: https://jwt.io

  *

  * @author Joyce 朱文  2019/6/16

  *

  */

 @RestController

 public class JwtController {

     private static final String SECRET = "123456"; // jwt token私钥，防止token被盗被破解

     public static final long EXPIRATION_TIME = 1800_000L; // token的过期时间，30 分钟

     /**

      * <pre>

      * 步骤1：第一次访问系统，生成token。

      * </pre>

      */

     @RequestMapping("/joyce/step1/firstAccess")

     public String step1(HttpServletRequest request, HttpServletResponse response) {

         // 把原来放在session里的信息都放入token

         HashMap<String, Object> tokenDataMap = new HashMap<>();

         tokenDataMap.put("uuid", "避免把敏感信息写入token");

         tokenDataMap.put("other", "xxx");

         request.getCookies();

         // 指定token的过期时间：30分钟

         Date thisTokenExpTime = new Date(new Date().getTime() + EXPIRATION_TIME);

         // 生成jwt token

         String token = Jwts.builder().setClaims(tokenDataMap).setExpiration(thisTokenExpTime)

                 .signWith(SignatureAlgorithm.HS512, SECRET).compact();

         // 按照jwt官方说明，可把token放入header中的Authorization，并且Authorization type为“Bearer Token”

         response.setCharacterEncoding("UTF-8");

         response.setContentType("application/json; charset=utf-8");

         response.setHeader("Access-Control-Allow-Headers", "Origin,Content-Type,Authorization");

         response.setHeader("Authorization", "Bearer " + token);

 //        response.setHeader("Access-Control-Allow-Origin","*");//启用跨域

 //        response.setHeader("Access-Control-Allow-Credentials", "true");

 //        response.setHeader("Access-Control-Allow-Methods", "POST,GET,OPTIONS,DELETE,PATCH,PUT");

 //        response.setHeader("Access-Control-Max-Age", "3600");

 //        response.setHeader("Access-Control-Allow-Headers", "Origin,X-Requested-With,x-requested-with,X-Custom-Header," +

 //                "Content-Type,Accept,Authorization");

         return token;

     }

     /**

      * <pre>

      * 步骤2：进入后续任何一个页面

      * 1、从Authorization header中获取token

      * 2、校验token正确性，如果错误，返回提示信息

      * </pre>

      */

     @RequestMapping("/joyce/step2/validToken")

     public String step2(HttpServletRequest request, HttpServletResponse response) {

         // 获取header

         String authorization = request.getHeader("Authorization");

         System.out.println("authorization===== " + authorization);

         // 解析token

         String token = StringUtils.EMPTY;

         // 如果token为空，则返回失败

         if (StringUtils.isBlank(authorization)) {

             return "error";

         }

         try {

             token = authorization.replaceFirst("Bearer ", StringUtils.EMPTY);

             // 得到自定义数据

             Map<String, Object> tokenDataMap = Jwts.parser().setSigningKey(SECRET).parseClaimsJws(token).getBody();

             //////////////////////////////////// 取值方式一

             // 获取token里payload有效负载数据

             String uuid = (String) (tokenDataMap.get("uuid"));

             String other = (String) (tokenDataMap.get("other"));

 //                Date generateTime = new Date((Long) tokenDataMap.get("myDate"));

             //////////////////////////////////// 取值方式二

             Iterator<Entry<String, Object>> it = tokenDataMap.entrySet().iterator();

             while (it.hasNext()) {

                 Entry<String, Object> entry = it.next();

                 System.out.println("entry = " + entry.getKey() + ":" + entry.getValue());

             }

             // 对所有的异常都需要进行业务处理

         } catch (UnsupportedJwtException e) { // 当接收到的JWT格式/配置与应用程序期望的格式不匹配时抛出异常。例如，当应用程序需要一个加密签名的JWS声明时，如果解析一个无签名的明文JWT，则会引发此异常。

             // TODO: handle exception

         } catch (MalformedJwtException e) { // 非正确的jwt结构

             // TODO: handle exception

         } catch (SignatureException e) { // 签名错误

             // TODO: handle exception

         } catch (ExpiredJwtException e) { // token过期

             // TODO: handle exception

         } catch (IllegalArgumentException e) { // 传递非法参数

             // TODO: handle exception

         }

         return "ok";

     }

 }

end.