JWT的概念

JWT（JSON Web Token） 是一种开放标准（RFC 7519），用于在网络应用间安全地传输信息。它特别适用于 身份验证 和 授权 场景。

🎯 JWT 的核心组成

JWT 由三部分组成，格式为：Header.Payload.Signature

1. Header（头部）

{
"alg": "HS256", // 签名算法（HMAC SHA256）
"typ": "JWT" // 令牌类型
}

• Base64Url 编码后形成第一部分

2. Payload（负载/声明）

包含实际的用户数据和其他信息：

{
"sub": "1234567890", // 主题（用户ID）
"name": "John Doe", // 自定义声明
"iat": 1516239022, // 签发时间
"exp": 1516242622 // 过期时间
}

3. Signature（签名）

HMACSHA256(
base64UrlEncode(header) + "." +
base64UrlEncode(payload),
secret
)

• 防止数据被篡改

📦 一个完整的 JWT 示例

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9. // Header
eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ. // Payload
SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c // Signature

⚡ JWT 在 Java 中的使用

常用 Java JWT 库

Maven 依赖（jjwt 示例）

<dependency>
<groupId>io.jsonwebtoken</groupId>
<artifactId>jjwt-api</artifactId>
<version>0.11.5</version>
</dependency>
<dependency>
<groupId>io.jsonwebtoken</groupId>
<artifactId>jjwt-impl</artifactId>
<version>0.11.5</version>
<scope>runtime</scope>
</dependency>
<dependency>
<groupId>io.jsonwebtoken</groupId>
<artifactId>jjwt-jackson</artifactId>
<version>0.11.5</version>
<scope>runtime</scope>
</dependency>

💻 Java 代码示例

1. 创建 JWT

import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;
import java.util.Date;

public class JwtUtil {
private static final String SECRET_KEY = "mySecretKey123!@#";
private static final long EXPIRATION_TIME = 86400000; // 24小时

public static String generateToken(String username) {
return Jwts.builder()
.setSubject(username)
.setIssuedAt(new Date())
.setExpiration(new Date(System.currentTimeMillis() + EXPIRATION_TIME))
.signWith(SignatureAlgorithm.HS256, SECRET_KEY)
.compact();
}
}

2. 验证和解析 JWT

public static boolean validateToken(String token) {
try {
Jwts.parser()
.setSigningKey(SECRET_KEY)
.parseClaimsJws(token);
return true;
} catch (Exception e) {
return false;
}
}

public static String getUsernameFromToken(String token) {
return Jwts.parser()
.setSigningKey(SECRET_KEY)
.parseClaimsJws(token)
.getBody()
.getSubject();
}

🔐 JWT 在 Web 应用中的典型流程

客户端 → 登录请求 → 服务器
↓
验证用户名密码
↓
生成JWT返回给客户端
↓
客户端 → 后续请求携带JWT（Authorization头）
↓
服务器验证JWT
↓
返回受保护资源

HTTP 请求头示例

Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9…

✅ JWT 的优点

⚠️ JWT 的注意事项

安全问题

性能考虑

// JWT 一旦签发就不可撤销
// 如果需要即时失效，需要额外方案：
// 1. 短过期时间 + 刷新令牌
// 2. 黑名单机制
// 3. 每次验证查库（会失去无状态优势）

🆚 JWT vs Session

📊 实际应用场景

Spring Boot 集成示例

@Configuration
public class JwtConfig {
@Bean
public JwtUtil jwtUtil() {
return new JwtUtil();
}
}

@RestController
@RequestMapping("/api/auth")
public class AuthController {
@PostMapping("/login")
public ResponseEntity<?> login(@RequestBody LoginRequest request) {
// 验证用户
if (authenticate(request)) {
String token = jwtUtil.generateToken(request.getUsername());
return ResponseEntity.ok(new AuthResponse(token));
}
return ResponseEntity.status(401).build();
}
}

拦截器验证

@Component
public class JwtInterceptor implements HandlerInterceptor {
@Override
public boolean preHandle(HttpServletRequest request,
HttpServletResponse response,
Object handler) {
String token = request.getHeader("Authorization");
if (token != null && token.startsWith("Bearer ")) {
token = token.substring(7);
if (jwtUtil.validateToken(token)) {
request.setAttribute("username", jwtUtil.getUsernameFromToken(token));
return true;
}
}
response.setStatus(401);
return false;
}
}

📚 最佳实践总结