1.JWT介绍

JWT（JSON Web Token）是一种基于JSON格式的身份验证和授权标准，经常用于Web应用程序中的用户身份验证。JWT由三个部分组成：头部、载荷和签名。头部包含算法和类型信息，载荷包含用户数据和元数据，签名则是基于头部和载荷计算得出的，在身份验证时用于验证请求是否是合法的。

JWT是一种轻量级、简单、可扩展的身份验证机制，具有良好的互操作性和各种编程语言中的广泛支持。可以在前端使用JavaScript生成JWT并在后端进行验证，也可以在后端使用Java、Python等语言生成和验证JWT。同时，JWT具有良好的安全性能，防止了跨站点脚本（XSS）和跨站点请求伪造（CSRF）等攻击。

1.1JWT的主要用于两个用途：

• 数据交换：因为JWT使用JSON来存储相关数据，而JSON这一种数据格式可以在各方之间传递。
• 安全验证：登录之后，后续的请求可以携带JWT，只有携带了JWT（认证Token）的请求才能够正常地访问到相关的数据及资源。

一般我们在开发过程中，凡是涉及到用户登录的，我们就需要去考虑用什么去存储用户登录的一个状态，两种策略：

• session（基于cookie的实现）：只不过session相关的数据存储于服务器。采用session这种方式，是以本地缓存来存储相关的数据的，当有100个用户进行登录的时候，就需要在本地缓存存储100个信息。因此会给服务器带来一定的内存压力。
• JWT：一旦生成，一般就抛给客户端去保存。客户端只需要每次携带这个Token就可以正常地访问接口。

1.2JWT的优点

• 无状态：服务器不需要在会话中存储任何会话信息，从而降低了服务器的资源开销，也提高了可扩展性；
• 可扩展性：JWT以JSON为数据格式，可以存储各种格式的数据，例如数组、嵌套JSON对象等，非常适合扩展；
• 安全性好：JWT支持签名和加密机制，可以防止请求被篡改或伪造。
• 跨平台支持：JWT是基于JSON格式的标准，并且是独立于编程语言的，非常适合跨平台使用。

1.3JWT的缺点

• 安全性取决于密钥的保护：JWT的安全性取决于密钥的保护，如果密钥泄漏，攻击者就可以伪造有效的JWT，从而通过身份验证。
• 载荷不能加密：JWT中的载荷是未加密的，因此可能会将敏感数据暴露给未经授权的人员。

总之，JWT以其轻量级、可扩展、跨平台的优点成为了Web应用程序中常用的身份验证机制，但在使用时需要注意密钥的保护以及不将敏感数据放在JWT的载荷中。

2JWT 使用

2.1依赖

<dependency>
			<groupId>com.auth0</groupId>
			<artifactId>java-jwt</artifactId>
			<version>4.2.2</version>
		</dependency>

2.2代码

package com.lys.lys_admin_api.common.utils;

import com.auth0.jwt.JWT;
import com.auth0.jwt.JWTVerifier;
import com.auth0.jwt.algorithms.Algorithm;
import com.auth0.jwt.interfaces.DecodedJWT;

import java.util.Calendar;

/**
 * jwt 在线解析 http://jwt.calebb.net/
 */
public class JWTUtils {
    public static final String SECRET = "liuyunshengsir";

    public static void main(String[] args) {
        String a="eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJ1c2VyTmFtZSI6ImxpdXl1bnNoZW5nc2lyIiwiZXhwIjoxNjg0ODk2MDI2LCJ1c2VySWQiOiIxMTExMTExIn0.nMQiL9wRaDyRCf1zD1HL9vEixWNGR4AiDt0JCJcB5GE";
        getJWT();
        readJWT(a);
    }

    public static String getJWT(){
        Calendar expires = Calendar.getInstance();
        expires.add(Calendar.SECOND, 60);

        String jwtToken = JWT.create()
                // 第一部分Header
                .withHeader(null)
                // 第二部分Payload
                .withClaim("userId", "1111111")
                .withClaim("userName", "liuyunshengsir")
                .withExpiresAt(expires.getTime())
                // 第三部分Signature
                .sign(Algorithm.HMAC256(SECRET));
        System.out.println(jwtToken);
        return jwtToken;
    }

    public static void readJWT(String str){
        // 创建一个验证的对象
        JWTVerifier jwtVerifier = JWT.require(Algorithm.HMAC256(SECRET)).build();
        DecodedJWT verify = jwtVerifier.verify(str);
        System.out.println(verify.getClaim("userId").asString());
        System.out.println(verify.getClaim("userName").asString());
        System.out.println("过期时间：" + verify.getExpiresAt());
    }


}

3.异常

常见的异常
这里贴出4个常见的异常，如果JWT校验不通过，就会抛出异常：

• SignatureVerificationException：签名不一致。
• TokenExpiredException：令牌过期。
• AlgorithmMismatchException：算法不匹配异常。
• InvalidClaimException：失效的Payload异常。一般存在于这种情况：获取token的服务器比使用token的服务器时钟快，请求分发到时间慢的服务器上导致token还没生效。