JWT 简介
JWT:Json Web Token
优点:可生成安全性较高的 token 且可以完成时效性的检验(登陆过期检查)
JWT 结构:(由官网获取)
JWT 生成 token
添加依赖:
<!-- java-jwt -->
<dependency>
<groupId>com.auth0</groupId>
<artifactId>java-jwt</artifactId>
<version>3.18.2</version>
</dependency>
<!-- jjwt -->
<dependency>
<groupId>io.jsonwebtoken</groupId>
<artifactId>jjwt</artifactId>
<version>0.9.1</version>
</dependency>
生成 token 示例代码:
//使用jwt生成token进行加密
JwtBuilder builder = Jwts.builder();
//此map可以存储用户角色权限信息
Map<String, Object> map = new HashMap<>();
map.put("k1", "v1");
//链式调用,设置相关加密信息
String token = builder.setSubject(name) //设置主题,也就是设置token中携带的数据
.setIssuedAt(new Date()) //设置token生成时间
.setId(users.get(0).getUserId() + "") //设置token的id(此处用的用户id)
.setClaims(map) //map中可存放用户角色权限信息
.setExpiration(new Date(System.currentTimeMillis() + 24 * 60 * 60 * 1000)) //设置token过期时间为1天后
.signWith(SignatureAlgorithm.HS256, "luis333") //设置加密方式和加密密码
.compact();
JWT 解析 token
//获取token并校验
if (token == null) {
return new ResultVo(ResStatus.NO, "请先登陆!", null);
} else {
//获取jwt解析器
JwtParser parser = Jwts.parser();
parser.setSigningKey("luis333"); //之前加密时的加密密码,一致才能解析成功
try {
//如果token正确(密码正确,且在有效期内)则正常执行,否则抛出异常
Jws<Claims> claimsJws = parser.parseClaimsJws(token); //解析token
//获取解析的token中相关数据
Claims body = claimsJws.getBody(); //获取token中用户数据
String subject = body.getSubject(); //获取subject中数据
String v1 = body.get("k1", String.class); //获取claims中存储的map中数据
return new ResultVo(ResStatus.OK, "success", null);
} catch (Exception e) {
return new ResultVo(ResStatus.NO, "登陆过期,请重新登陆!", null);
}
}
拦截器校验 token
拦截器类:
/**
* 拦截器
*/
@Component
public class CheckTokenInterceptor implements HandlerInterceptor {
/**
* 预处理方法,拦截请求,决定是否放行。
*/
@Override
public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
//获取token并校验
String token = request.getParameter("token");
System.out.println("preHandle ========> token = " + token);
if (token == null) {
//没有token
ResultVo resultVo = new ResultVo(ResStatus.NO, "请先登录!", null);
doResponse(response, resultVo);
} else {
//获取jwt解析器
JwtParser parser = Jwts.parser();
parser.setSigningKey("luis333"); //之前加密时的加密密码,一致才能解析成功
try {
//如果token正确(密码正确,且在有效期内)则正常执行,否则抛出异常
Jws<Claims> claimsJws = parser.parseClaimsJws(token); //解析token
return true;
} catch (ExpiredJwtException e) {
ResultVo resultVo = new ResultVo(ResStatus.NO, "token已过期!", null);
doResponse(response, resultVo);
} catch (UnsupportedJwtException e) {
ResultVo resultVo = new ResultVo(ResStatus.NO, "异常token!", null);
doResponse(response, resultVo);
} catch (Exception e) {
ResultVo resultVo = new ResultVo(ResStatus.NO, "请先登录!", null);
doResponse(response, resultVo);
}
}
return false;
}
/**
* 响应流程封装
*/
private void doResponse(HttpServletResponse response, ResultVo resultVo) throws IOException {
response.setContentType("application/json");
response.setCharacterEncoding("utf-8");
PrintWriter out = response.getWriter();
String s = new ObjectMapper().writeValueAsString(resultVo);
out.print(s);
out.flush();
out.close();
}
}
拦截器配置类:
/**
* 拦截器配置类(SpringBoot中配置拦截器)
*/
@Configuration
public class InterceptorConfig implements WebMvcConfigurer { //注意此处需要实现WebMvcConfigurer接口
@Autowired
private CheckTokenInterceptor checkTokenInterceptor;
@Override
public void addInterceptors(InterceptorRegistry registry) {
registry.addInterceptor(checkTokenInterceptor) //添加拦截器
.addPathPatterns("/shopcart/**") //添加要拦截的请求
.addPathPatterns("/orders/**")
.excludePathPatterns("/user/**"); //放行的请求
}
}
常用请求头传递 token
前端使用自定义请求头数据传递 token 示例:(注意请求头传递数据关键字 headers,带 s)
<script type="text/javascript">
var baseUrl = "http://localhost:8080";
var vm = new Vue({
el: "#container",
data: {
token: ""
},
//钩子函数,生命周期函数,直接定义!
created: function() {
//钩子函数,data数据初始化之后自动调用
console.log("========> created method execute !")
var token = getCookieValue("token");
this.token = token;
console.log("token = " + token);
axios({
url: baseUrl + "/shopcart/list",
method: "get",
headers: {token: this.token} //自定义请求头数据传递token
}).then(function(res) {
console.log(res.data);
});
}
});
</script>
注意:使用自定义请求头传递数据时,浏览器会自动发起一次预检请求(method="OPTIONS"
),来监测环境是否畅通,如果服务器正常响应,则后续请求才可正常发起。
所以,当使用拦截器统一校验 token ,并且使用自定义请求头传递 token 时,需要在拦截器中放行浏览器自动发起的预检请求,即放行 OPTIONS
请求方式的预检请求。
主要注意点:
拦截器代码示例:
/**
* 拦截器
*/
@Component
public class CheckTokenInterceptor implements HandlerInterceptor {
/**
* 预处理方法,拦截请求,决定是否放行。
*/
@Override
public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
//放行浏览器自动发起的预检请求(请求方式为OPTIONS)
String method = request.getMethod();
System.out.println("method ========> " + method);
if ("OPTIONS".equalsIgnoreCase(method)) {
return true;
}
//从请求头中获取token并校验
String token = request.getHeader("token");
System.out.println("preHandle ========> token = " + token);
if (token == null) {
//没有token
ResultVo resultVo = new ResultVo(ResStatus.NO, "请先登录!", null);
doResponse(response, resultVo);
} else {
//获取jwt解析器
JwtParser parser = Jwts.parser();
parser.setSigningKey("luis333"); //之前加密时的加密密码,一致才能解析成功
try {
//如果token正确(密码正确,且在有效期内)则正常执行,否则抛出异常
Jws<Claims> claimsJws = parser.parseClaimsJws(token); //解析token
return true;
} catch (ExpiredJwtException e) {
ResultVo resultVo = new ResultVo(ResStatus.NO, "token已过期!", null);
doResponse(response, resultVo);
} catch (UnsupportedJwtException e) {
ResultVo resultVo = new ResultVo(ResStatus.NO, "异常token!", null);
doResponse(response, resultVo);
} catch (Exception e) {
ResultVo resultVo = new ResultVo(ResStatus.NO, "请先登录!", null);
doResponse(response, resultVo);
}
}
return false;
}
/**
* 响应流程封装
*/
private void doResponse(HttpServletResponse response, ResultVo resultVo) throws IOException {
response.setContentType("application/json");
response.setCharacterEncoding("utf-8");
PrintWriter out = response.getWriter();
String s = new ObjectMapper().writeValueAsString(resultVo);
out.print(s);
out.flush();
out.close();
}
}