java如何使用JWT实现身份认证 java安全认证的实用操作方法

jjwt

io.jsonwebtoken:jjwt-api

jjwt-impl

jjwt-jackson

import io.jsonwebtoken.Claims;
import io.jsonwebtoken.ExpiredJwtException;
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.MalformedJwtException;
import io.jsonwebtoken.SignatureAlgorithm;
import io.jsonwebtoken.SignatureException;
import io.jsonwebtoken.UnsupportedJwtException;

import java.util.Date;

// 假设这是你的密钥，生产环境请务必从安全配置中加载
// 注意：生产环境密钥长度应至少为256位（HS256），且应从环境变量或密钥管理服务中加载，而非硬编码
private static final String SECRET_KEY = "YourSuperSecretKeyThatIsAtLeast256BitsLongAndRandomlyGeneratedForProductionEnvironment";
private static final long EXPIRATION_TIME = 86400000; // 24小时 (毫秒)

/**
 * 生成JWT Token
 * @param username 用户名或用户ID
 * @return 生成的JWT字符串
 */
public String generateToken(String username) {
    return Jwts.builder()
            .setSubject(username) // 主题，通常是用户ID或用户名
            .setIssuedAt(new Date()) // 签发时间
            .setExpiration(new Date(System.currentTimeMillis() + EXPIRATION_TIME)) // 过期时间
            .signWith(SignatureAlgorithm.HS256, SECRET_KEY.getBytes()) // 使用HS256算法和密钥签名
            .compact(); // 压缩成字符串
}

/**
 * 验证并解析JWT Token
 * @param token JWT字符串
 * @return 解析后的Claims（载荷）
 * @throws ExpiredJwtException 如果Token过期
 * @throws UnsupportedJwtException 如果Token格式不支持
 * @throws MalformedJwtException 如果Token格式不正确
 * @throws SignatureException 如果签名验证失败
 * @throws IllegalArgumentException 如果Token为空或无效
 */
public Claims parseToken(String token) {
    try {
        return Jwts.parserBuilder()
                .setSigningKey(SECRET_KEY.getBytes()) // 设置用于验证的密钥
                .build()
                .parseClaimsJws(token) // 解析JWS（JSON Web Signature）
                .getBody(); // 获取载荷
    } catch (ExpiredJwtException e) {
        // Token过期了，这很常见，需要给客户端一个明确的提示
        System.err.println("JWT Token has expired: " + e.getMessage());
        throw e; // 向上抛出，让上层业务逻辑处理过期情况
    } catch (UnsupportedJwtException | MalformedJwtException | SignatureException | IllegalArgumentException e) {
        // 其他解析或签名错误，表示Token无效或被篡改
        System.err.println("Invalid JWT Token: " + e.getMessage());
        throw e; // 向上抛出，表示Token非法
    }
}

/**
 * 从Token中获取用户名
 * @param token JWT字符串
 * @return 用户名
 */
public String getUsernameFromToken(String token) {
    return parseToken(token).getSubject();
}

Authorization

Bearer <token>

parseToken