**在当今的Web开发中，安全认证和授权变得尤为重要。** **JWT（JSON Web Tokens）是一种开放标准（RFC 7519），它定义了一种简洁、紧凑且自包含的方式，用于在各方之间安全地传输信息。**

> **但这种传输并不是保密的传输,只是验证真伪的传输,信息是可以被看见的,只是做不了假**

**jwt就是一个简单的字符串。可以在请求参数或者是请求头当中直接传递。**

* **紧凑：**指的是它能够以较小的体积包含所有的信息。JWT使用Base64Url编码算法JWT支持多种加密算法，如HS256、RS256等，这些算法能够在保证安全性的同时，保持令牌的大小不会过大。
* **自包含：**指的是jwt令牌，看似是一个随机的字符串，但是我们是可以根据自身的需求在jwt令牌中存储自定义的数据内容。JWT包含了所有必要的信息来验证其有效性，不需要额外的查询或数据库操作。

**简单来说就是将原始的json数据格式进行了安全的封装，这样就可以直接基于jwt在通信双方安全的进行信息传输**

# JWT的组成

**JWT由三部分组成：头部（Header）、载荷（Payload）和签名（Signature）用.分隔。这三部分以**`.`分隔，形如`xxxxx.yyyyy.zzzzz`

## 头部

**包含了令牌的类型和所使用的加密算法**

* **编码后：**`eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9`
* **解码后：**
  
  ```
  {
  "alg": "HS256",//加密的算法
  "typ": "JWT"//令牌的类型
  }
  ```
  
  **头部告诉我们签名算法（HS256）和令牌类型（JWT）**

## 载荷

**存放实际的数据，可以是任何形式的JSON对象**

**编码后：eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ** **解码后：**

```
{
  "name": "John Doe",
  "admin": true,
  "roles": ["user", "admin"],
  "exp": 1687016741
}
```

**载荷包含了声明信息，如用户姓名、是否为管理员、用户角色和过期时间。**

## 签名

**用于验证令牌的发送者和内容是否被篡改。签名由头部、载荷、秘钥和指定的算法生成**

**签名是对头部和载荷的加密，确保令牌的完整性和可靠性**

**在生成JWT令牌时，会对JSON格式的数据进行一次编码：进行base64编码**

# JWT使用

## 导入JWT依赖

```
<dependency>
  <groupId>com.auth0</groupId>
  <artifactId>java-jwt</artifactId>
  <version>3.10.3</version>
</dependency>
```

## 生成token

```
Map<String, Object> claims = new HashMap<>();
    claims.put(JwtClaimsConstant.EMP_ID, employee.getId());
    String token = JwtUtil.createJWT(
            jwtProperties.getAdminSecretKey(),
            jwtProperties.getAdminTtl(),
            claims);
```

## 配置拦截器

**在WebMvcConfiguration中重写拦截器接口addInterceptors，每次访问/admin目录下的文件都会经过此拦截器进行jwt验证。**

```
@Configuration
@Slf4j
public class WebMvcConfiguration extends WebMvcConfigurationSupport {

@Autowired
    private JwtTokenAdminInterceptor jwtTokenAdminInterceptor;

/**
     * 注册自定义拦截器
     *
     * @param registry
     */
    protected void addInterceptors(InterceptorRegistry registry) {
        log.info("开始注册自定义拦截器...");
        registry.addInterceptor(jwtTokenAdminInterceptor)
                .addPathPatterns("/admin/**")
                .excludePathPatterns("/admin/employee/login");
    }
```

## 验证解析token

**创建拦截器的类JwtInterceptor，用于配置WebMvcConfigurer，将自己的自定义拦截器装配到容器中；jwt拦截器文件JwtInterceptor，重写preHandle方法，校验通过拦截器放行，不通过返回错误的状态码。**

```
@Component
@Slf4j
public class JwtTokenAdminInterceptor implements HandlerInterceptor {

@Autowired
    private JwtProperties jwtProperties;

/**
     * 校验jwt
     * @param request
     * @param response
     * @param handler
     * @return
     * @throws Exception下 
     */
    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        //判断当前拦截到的是Controller的方法还是其他资源
        if (!(handler instanceof HandlerMethod)) {
            //当前拦截到的不是动态方法，直接放行
            return true;
        }

//1、从请求头中获取令牌
        String token = request.getHeader(jwtProperties.getAdminTokenName());

//2、校验令牌
        try {
            log.info("jwt校验:{}", token);
            Claims claims = JwtUtil.parseJWT(jwtProperties.getAdminSecretKey(), token);
            Long empId = Long.valueOf(claims.get(JwtClaimsConstant.EMP_ID).toString());
            log.info("当前员工id：", empId);
            // 通过ThreadLocal存储当前员工id
            BaseContext.setCurrentId(empId);
            //3、通过，放行
            return true;
        } catch (Exception ex) {
            //4、不通过，响应401状态码
            response.setStatus(401);
            return false;
        }
    }
}
```

1. **这里使用了一个名为Jwts的库，它提供了用于解析JWT的工具。**`.parser()`方法创建了一个用于解析JWT的解析器实例
2. **JWT解析器需要知道签名秘钥来验证JWT的签名部分。**`.setSigningKey()`方法用于设置这个秘钥。这里的秘钥是`secretKey`参数，它首先被转换为UTF-8字节数组，这是因为JWT的签名部分是基于字节进行计算的
3. `.parseClaimsJws(token)`这个方法用于解析JWT的字符串形式。token参数是要解析的JWT字符串
4. **解析过程中，会验证JWT的签名是否与通过秘钥计算出的签名一致。签名验证是一个关键步骤，确保JWT没有被篡改**
5. **如果签名验证通过，解析器会返回一个**`Jws<claims>`对象，其中包含JWT的三个部分：头部（header）、有效载荷（claims）和签名（signature）
6. `.getBody()`方法用于提取JWT的有效载荷部分

## Jwt工具类

```
public class JwtUtil {
    /**
     * 生成jwt
     * 使用Hs256算法, 私匙使用固定秘钥
     *
     * @param secretKey jwt秘钥
     * @param ttlMillis jwt过期时间(毫秒)
     * @param claims    设置的信息
     * @return
     */
    public static String createJWT(String secretKey, long ttlMillis, Map<String, Object> claims) {
        // 指定签名的时候使用的签名算法，也就是header那部分
        SignatureAlgorithm signatureAlgorithm = SignatureAlgorithm.HS256;

// 生成JWT的时间
        long expMillis = System.currentTimeMillis() + ttlMillis;//当前时间戳加上递给方法的JWT过期时间
        Date exp = new Date(expMillis);

// 设置jwt的body
        JwtBuilder builder = Jwts.builder()
                // 如果有私有声明，一定要先设置这个自己创建的私有的声明，这个是给builder的claim赋值，一旦写在标准的声明赋值之后，就是覆盖了那些标准的声明的
                .setClaims(claims)
                // 设置签名使用的签名算法和签名使用的秘钥
                .signWith(signatureAlgorithm, secretKey.getBytes(StandardCharsets.UTF_8))
                // 设置过期时间
                .setExpiration(exp);

return builder.compact();
    }
/**
     * Token解密
     *
     * @param secretKey jwt秘钥 此秘钥一定要保留好在服务端, 不能暴露出去, 否则sign就可以被伪造, 如果对接多个客户端建议改造成多个
     * @param token     加密后的token
     * @return
     */
    public static Claims parseJWT(String secretKey, String token) {
        // 得到DefaultJwtParser
        Claims claims = Jwts.parser()
                // 设置签名的秘钥
                .setSigningKey(secretKey.getBytes(StandardCharsets.UTF_8))
                // 设置需要解析的jwt
                .parseClaimsJws(token).getBody();
        return claims;
    }
}
```

## Jwt相关配置

```
package com.sky.properties;

import lombok.Data;
import org.springframework.boot.context.properties.ConfigurationProperties;
import org.springframework.stereotype.Component;

@Component
@ConfigurationProperties(prefix = "sky.jwt")
@Data
public class JwtProperties {

/**
     * 管理端员工生成jwt令牌相关配置
     */
    private String adminSecretKey;
    private long adminTtl;
    private String adminTokenName;

/**
     * 用户端微信用户生成jwt令牌相关配置
     */
    private String userSecretKey;
    private long userTtl;
    private String userTokenName;
}
```

## application.yml配置

```
sky:
  jwt:
    # 设置jwt签名加密时使用的秘钥
    admin-secret-key: itcast
    # 设置jwt过期时间
    admin-ttl: 7200000
    # 设置前端传递过来的令牌名称
    admin-token-name: token
```

## 常见的JWT异常

* **SignatureVerificationException: 无效签名**
* **TokenExpiredException: token过期**
* **AlgorithmMismatchException: token算法不一致**
* **InvalidClaimException: 失效payload异常**

---

> **参考文章：**[https://blog.csdn.net/m0\_57752520/article/details/125785908](https://blog.csdn.net/m0_57752520/article/details/125785908)

在当今的Web开发中，安全认证和授权变得尤为重要。 JWT（JSON Web Tokens）是一种开放标准（RFC 7519），它定义了一种简洁、紧凑且自包含的方式，用于在各方之间安全地传输信息。

但这种传输并不是保密的传输,只是验证真伪的传输,信息是可以被看见的,只是做不了假

jwt就是一个简单的字符串。可以在请求参数或者是请求头当中直接传递。

紧凑：指的是它能够以较小的体积包含所有的信息。JWT使用Base64Url编码算法JWT支持多种加密算法，如HS256、RS256等，这些算法能够在保证安全性的同时，保持令牌的大小不会过大。
自包含：指的是jwt令牌，看似是一个随机的字符串，但是我们是可以根据自身的需求在jwt令牌中存储自定义的数据内容。JWT包含了所有必要的信息来验证其有效性，不需要额外的查询或数据库操作。

简单来说就是将原始的json数据格式进行了安全的封装，这样就可以直接基于jwt在通信双方安全的进行信息传输

JWT的组成

JWT由三部分组成：头部（Header）、载荷（Payload）和签名（Signature）用.分隔。这三部分以.分隔，形如xxxxx.yyyyy.zzzzz

头部

包含了令牌的类型和所使用的加密算法

编码后：eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9
解码后：
```
{
"alg": "HS256",//加密的算法
"typ": "JWT"//令牌的类型
}
```
头部告诉我们签名算法（HS256）和令牌类型（JWT）

载荷

存放实际的数据，可以是任何形式的JSON对象

编码后：eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ 解码后：

{
  "name": "John Doe",
  "admin": true,
  "roles": ["user", "admin"],
  "exp": 1687016741
}

载荷包含了声明信息，如用户姓名、是否为管理员、用户角色和过期时间。

签名

用于验证令牌的发送者和内容是否被篡改。签名由头部、载荷、秘钥和指定的算法生成

签名是对头部和载荷的加密，确保令牌的完整性和可靠性

在生成JWT令牌时，会对JSON格式的数据进行一次编码：进行base64编码

JWT使用

导入JWT依赖

<dependency>
  <groupId>com.auth0</groupId>
  <artifactId>java-jwt</artifactId>
  <version>3.10.3</version>
</dependency>

生成token

Map<String, Object> claims = new HashMap<>();
    claims.put(JwtClaimsConstant.EMP_ID, employee.getId());
    String token = JwtUtil.createJWT(
            jwtProperties.getAdminSecretKey(),
            jwtProperties.getAdminTtl(),
            claims);

配置拦截器

在WebMvcConfiguration中重写拦截器接口addInterceptors，每次访问/admin目录下的文件都会经过此拦截器进行jwt验证。

@Configuration
@Slf4j
public class WebMvcConfiguration extends WebMvcConfigurationSupport {

    @Autowired
    private JwtTokenAdminInterceptor jwtTokenAdminInterceptor;

    /**
     * 注册自定义拦截器
     *
     * @param registry
     */
    protected void addInterceptors(InterceptorRegistry registry) {
        log.info("开始注册自定义拦截器...");
        registry.addInterceptor(jwtTokenAdminInterceptor)
                .addPathPatterns("/admin/**")
                .excludePathPatterns("/admin/employee/login");
    }

验证解析token

创建拦截器的类JwtInterceptor，用于配置WebMvcConfigurer，将自己的自定义拦截器装配到容器中；jwt拦截器文件JwtInterceptor，重写preHandle方法，校验通过拦截器放行，不通过返回错误的状态码。

@Component
@Slf4j
public class JwtTokenAdminInterceptor implements HandlerInterceptor {

    @Autowired
    private JwtProperties jwtProperties;

    /**
     * 校验jwt
     * @param request
     * @param response
     * @param handler
     * @return
     * @throws Exception下 
     */
    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        //判断当前拦截到的是Controller的方法还是其他资源
        if (!(handler instanceof HandlerMethod)) {
            //当前拦截到的不是动态方法，直接放行
            return true;
        }

        //1、从请求头中获取令牌
        String token = request.getHeader(jwtProperties.getAdminTokenName());

        //2、校验令牌
        try {
            log.info("jwt校验:{}", token);
            Claims claims = JwtUtil.parseJWT(jwtProperties.getAdminSecretKey(), token);
            Long empId = Long.valueOf(claims.get(JwtClaimsConstant.EMP_ID).toString());
            log.info("当前员工id：", empId);
            // 通过ThreadLocal存储当前员工id
            BaseContext.setCurrentId(empId);
            //3、通过，放行
            return true;
        } catch (Exception ex) {
            //4、不通过，响应401状态码
            response.setStatus(401);
            return false;
        }
    }
}

这里使用了一个名为Jwts的库，它提供了用于解析JWT的工具。.parser()方法创建了一个用于解析JWT的解析器实例
JWT解析器需要知道签名秘钥来验证JWT的签名部分。.setSigningKey()方法用于设置这个秘钥。这里的秘钥是secretKey参数，它首先被转换为UTF-8字节数组，这是因为JWT的签名部分是基于字节进行计算的
.parseClaimsJws(token)这个方法用于解析JWT的字符串形式。token参数是要解析的JWT字符串
解析过程中，会验证JWT的签名是否与通过秘钥计算出的签名一致。签名验证是一个关键步骤，确保JWT没有被篡改
如果签名验证通过，解析器会返回一个Jws<claims>对象，其中包含JWT的三个部分：头部（header）、有效载荷（claims）和签名（signature）
.getBody()方法用于提取JWT的有效载荷部分

Jwt工具类

public class JwtUtil {
    /**
     * 生成jwt
     * 使用Hs256算法, 私匙使用固定秘钥
     *
     * @param secretKey jwt秘钥
     * @param ttlMillis jwt过期时间(毫秒)
     * @param claims    设置的信息
     * @return
     */
    public static String createJWT(String secretKey, long ttlMillis, Map<String, Object> claims) {
        // 指定签名的时候使用的签名算法，也就是header那部分
        SignatureAlgorithm signatureAlgorithm = SignatureAlgorithm.HS256;

        // 生成JWT的时间
        long expMillis = System.currentTimeMillis() + ttlMillis;//当前时间戳加上递给方法的JWT过期时间
        Date exp = new Date(expMillis);

        // 设置jwt的body
        JwtBuilder builder = Jwts.builder()
                // 如果有私有声明，一定要先设置这个自己创建的私有的声明，这个是给builder的claim赋值，一旦写在标准的声明赋值之后，就是覆盖了那些标准的声明的
                .setClaims(claims)
                // 设置签名使用的签名算法和签名使用的秘钥
                .signWith(signatureAlgorithm, secretKey.getBytes(StandardCharsets.UTF_8))
                // 设置过期时间
                .setExpiration(exp);

        return builder.compact();
    }
/**
     * Token解密
     *
     * @param secretKey jwt秘钥 此秘钥一定要保留好在服务端, 不能暴露出去, 否则sign就可以被伪造, 如果对接多个客户端建议改造成多个
     * @param token     加密后的token
     * @return
     */
    public static Claims parseJWT(String secretKey, String token) {
        // 得到DefaultJwtParser
        Claims claims = Jwts.parser()
                // 设置签名的秘钥
                .setSigningKey(secretKey.getBytes(StandardCharsets.UTF_8))
                // 设置需要解析的jwt
                .parseClaimsJws(token).getBody();
        return claims;
    }
}

Jwt相关配置

package com.sky.properties;

import lombok.Data;
import org.springframework.boot.context.properties.ConfigurationProperties;
import org.springframework.stereotype.Component;

@Component
@ConfigurationProperties(prefix = "sky.jwt")
@Data
public class JwtProperties {

    /**
     * 管理端员工生成jwt令牌相关配置
     */
    private String adminSecretKey;
    private long adminTtl;
    private String adminTokenName;

    /**
     * 用户端微信用户生成jwt令牌相关配置
     */
    private String userSecretKey;
    private long userTtl;
    private String userTokenName;
}

application.yml配置

sky:
  jwt:
    # 设置jwt签名加密时使用的秘钥
    admin-secret-key: itcast
    # 设置jwt过期时间
    admin-ttl: 7200000
    # 设置前端传递过来的令牌名称
    admin-token-name: token

常见的JWT异常

SignatureVerificationException: 无效签名
TokenExpiredException: token过期
AlgorithmMismatchException: token算法不一致
InvalidClaimException: 失效payload异常

参考文章：https://blog.csdn.net/m0\_57752520/article/details/125785908

最后修改：2025 年 08 月 01 日

如果觉得我的文章对你有用，请随意赞赏

JWT令牌详细解析

JWT的组成

头部

载荷

签名

JWT使用

导入JWT依赖

生成token

配置拦截器

验证解析token

Jwt工具类

Jwt相关配置

application.yml配置

常见的JWT异常

发表评论取消回复
使用cookie技术保留您的个人信息以便您下次快速评论，继续评论表示您已同意该条款

P2141 [NOIP2014 普及组] 珠心算测验题目分析

我与地坛，小感

P1055 [NOIP2008 普及组] ISBN 号码题目分析

爬虫练习1——获取电影天堂磁力链接

P1002 [NOIP2002 普及组] 过河卒题目分析

我与地坛，小感

解决Vue History模式服务器端Nginx的配置问题

爬虫练习1——获取电影天堂磁力链接

vscode多端口启动Springboot项目

Redisson实现分布式锁

JWT令牌详细解析

JWT的组成

头部

载荷

签名

JWT使用

导入JWT依赖

生成token

配置拦截器

验证解析token

Jwt工具类

Jwt相关配置

application.yml配置

常见的JWT异常

发表评论 取消回复 使用cookie技术保留您的个人信息以便您下次快速评论，继续评论表示您已同意该条款

JWT令牌详细解析

发表评论取消回复
使用cookie技术保留您的个人信息以便您下次快速评论，继续评论表示您已同意该条款