引言
最近面试过程中，无意中跟候选人聊到了 JWT 相关的东西，也就联想到我自己关于 JWT 落地过的那些项目。
关于 JWT，可以说是分布式系统下的一个利器，我在我的很多项目实践中，认证系统的第一选择都是 JWT。它的优势会让你欲罢不能，就像你领优惠券一样。
大家回忆一下一个场景，如果你和你的女朋友想吃某江家的烤鱼了，你会怎么做呢？
传统的时代，我想场景是这样的：我们走进一家某江家餐厅，会被服务员引导一个桌子，然后我们开始点餐，服务原会记录我们点餐信息，然后在送到后厨去。这个过程中，那个餐桌就相当于 session，而我们的点餐信息回记录到这个 session 之中，然后送到后厨。这个是一个典型的基于 session 的认证过程。但我们也发现了它的弊端，就是基于 session 的这种认证，对服务器强依赖，而且信息都是存储在服务器之上，灵活性和扩展性大大降低。
而互联网时代，大众点评、美团、饿了么给了我们另一个选择，我们可能第一时间会在这些平台上搜索江边城外的优惠券，这个优惠券中可能会描述着两人实惠套餐明细。这张优惠券就是我们的 JWT，我们可以在任何一家有参与优惠活动的餐厅使用这张优惠券，而不必被限制在同一家餐厅。同时这张优惠券中直接记录了我们的点餐明细，等我们到了餐厅，只需要将优惠券二维码告知服务员，服务员就会给我们端上我们想要的食物。
好了，以上只是一个小例子，其实只是想说明一下 JWT 相较于传统的基于 session 的认证框架的优势。
JWT 的优势在于它可以跨域、跨服务器使用，而 Session 则只能在本域名下使用。而且，JWT 不需要在服务端保存用户的信息，只需要在客户端保存即可，这减轻了服务端的负担。 这一点在分布式架构下优势还是很明显的。
什么是 JWT
说了这么多，如何定义 JWT 呢？
JWT（JSON Web Token）是一种用于在网络应用中进行身份验证的开放标准（RFC7519）。它可以安全地在用户和服务器之间传输信息，因为它使用数字签名来验证数据的完整性和真实性。
JWT 包含三个部分：头部、载荷和签名。头部包含算法和类型信息，载荷包含用户的信息，签名用于验证数据的完整性和真实性。
额外说一下 poload，也就是负荷部分，这块是 jwt 的核心模块，它内部包括一些声明（claims）。声明由三个类型组成：
Registered Claims：这是预定义的声明名称，主要包括以下几种：
iss：Token 发行者
sub：Token 主题
aud：Token 的受众
exp：Token 过期时间
iat：Token 发行时间
jti：Token 唯一标识符
Public Claims：公共声明是自己定义的声明名称，以避免冲突。
Private Claims：私有声明与公共声明类似，不同之处在于它是用于在双方之间共享信息的。
当用户登录时，服务器将生成一个 JWT，并将其作为响应返回给客户端。客户端将在后续的请求中发送此 JWT。服务器将使用相同的密钥验证 JWT 的签名，并从载荷中获取用户信息。如果签名验证通过并且用户信息有效，则服务器将允许请求继续进行。
JWT 优点
JWT 优点如果我们系统的总结一下， 如下：
跨语言和平台：JWT 是基于 JSON 标准的，因此可以在不同的编程语言和平台之间进行交换和使用。无状态：由于 JWT 包含所有必要的信息，服务器不需要在每个请求中存储任何会话数据，因此可以轻松地进行负载均衡。
安全性：JWT 使用数字签名来验证数据的完整性和真实性，因此可以防止数据被篡改或伪造。
可扩展性：JWT 可以包含任何用户信息，因此可以轻松地扩展到其他应用程序中。
一个基于 JWT 认证的方案
我将举一个我实际业务落地的一个例子。
我的业务场景中一般都会有一个业务网关，该网关的核心功能就是鉴权和上线文转换。用户请求会将 JWT 字符串存与 header 之中，然后到网关后进行 JWT 解析，解析后的上下文信息，会转变成明文 K-V 的方式在此存于 header 之中，供系统内部各个微服务之间互相调用时提供明文上下文信息。具体时序图如下：
基于 Spring security 的 JWT 实践
JWT 原理很简单，当然，你可以完全自己实现 JWT 的全流程，但是，实际中，我们一般不需要这么干，因为有很多成熟和好用的轮子提供给我们，而且封装性和安全性也远比自己匆忙的封装一个简单的 JWT 来的高。
如果是基于学习 JWT，我是建议大家自己手写一个 demo 的，但是如果重实践的角度触发，我们完全可以使用 Spring Security 提供的 JWT 组件，来高效快速的实现一个稳定性和安全性都非常高的 JWT 认证框架。
以下是我基于我的业务实际情况，根据保密性要求，简化了的 JWT 实践代码。也算是抛砖引玉，希望可以给大家在业务场景中运用 JWT 做一个参考。
maven 依赖
首先，我们需要添加以下依赖到 pom.xml 文件中：
<dependency><groupId>org.springframework.boot</groupId><artifactId>spring-boot-starter-security</artifactId></dependency><dependency><groupId>io.jsonwebtoken</groupId><artifactId>jjwt</artifactId><version>0.9.1</version></dependency>
复制代码
JWT 工具类封装
然后，我们可以创建一个 JwtTokenUtil 类来生成和验证 JWT 令牌：
import io.jsonwebtoken.Claims;import io.jsonwebtoken.Jwts;import io.jsonwebtoken.SignatureAlgorithm;import org.springframework.beans.factory.annotation.Value;import org.springframework.security.core.userdetails.UserDetails;import org.springframework.stereotype.Component;import java.util.Date;import java.util.HashMap;import java.util.Map;import java.util.function.Function;
@Componentpublic class JwtTokenUtil { private static final long JWT_TOKEN_VALIDITY = 5 * 60 * 60; @Value("${jwt.secret}") private String secret;
public String generateToken(UserDetails userDetails) { Map<String, Object> claims = newHashMap <>(); return createToken(claims, userDetails.getUsername()); } private String createToken(Map<String, Object> claims, String subject) { Date now = new Date(); Date expiration = new Date(now.getTime() + JWT_TOKEN_VALIDITY * 1000); return Jwts.builder() .setClaims(claims) .setSubject(subject) .setIssuedAt(now) .setExpiration(expiration) .signWith(SignatureAlgorithm.HS256, secret) .compact(); } public boolean validateToken(String token, UserDetails userDetails) { final String username = extractUsername(token); return (username.equals(userDetails.getUsername()) && !isTokenExpired(token)); } private boolean isTokenExpired(String token) { return extractExpiration(token).before(new Date()); } public String extractUsername(String token) { return extractClaim(token, Claims::getSubject); } public Date extractExpiration(String token) { return extractClaim(token, Claims::getExpiration); } private <T> T extractClaim(String token, Function<Claims, T> claimsResolver) { final Claims claims = extractAllClaims(token); return claimsResolver.apply(claims); } private Claims extractAllClaims(String token) { return Jwts.parser().setSigningKey(secret).parseClaimsJws(token).getBody(); }}
复制代码
在这个实现中，我们使用了 jjwt 库来创建和解析 JWT 令牌。我们定义了以下方法：
generateToken：生成 JWT 令牌。
createToken：创建 JWT 令牌。
validateToken：验证 JWT 令牌是否有效。
isTokenExpired：检查 JWT 令牌是否过期。
extractUsername：从 JWT 令牌中提取用户名。
extractExpiration：从 JWT 令牌中提取过期时间。
extractClaim：从 JWT 令牌中提取指定的声明。
extractAllClaims：从 JWT 令牌中提取所有声明。
UserDetailsService 类定义
接下来，我们可以创建一个自定义的 UserDetailsService，用于验证用户登录信息：
import org.springframework.beans.factory.annotation.Autowired;import org.springframework.security.core.userdetails.User;import org.springframework.security.core.userdetails.UserDetails;import org.springframework.security.core.userdetails.UserDetailsService;import org.springframework.security.core.userdetails.UsernameNotFoundException;import org.springframework.stereotype.Service;
@Servicepublic class JwtUserDetailsService implements UserDetailsService { @Autowired private UserRepository userRepository; @Override public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException { UserEntity user = userRepository.findByUsername(username); if (user == null) { throw new UsernameNotFoundException("User not found with username: " + username); } return new User(user.getUsername(), user.getPassword(), new ArrayList<>()); }}
复制代码
在这个实现中，我们使用了 UserRepository 来检索用户信息。我们实现了 UserDetailsService 接口，并覆盖了 loadUserByUsername 方法，以便验证用户登录信息。
JwtAuthenticationFilter 定义
接下来，我们可以创建一个 JwtAuthenticationFilter 类，用于拦截登录请求并生成 JWT 令牌：
import com.fasterxml.jackson.databind.ObjectMapper;import org.springframework.security.authentication.AuthenticationManager;import org.springframework.security.authentication.UsernamePasswordAuthenticationToken;import org.springframework.security.core.Authentication;import org.springframework.security.core.AuthenticationException;import org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter;
import javax.servlet.FilterChain;import javax.servlet.ServletException;import javax.servlet.http.HttpServletRequest;import javax.servlet.http.HttpServletResponse;import java.io.IOException;import java.util.Collections;import java.util.Date;
public class JwtAuthenticationFilter extends UsernamePasswordAuthenticationFilter { private final AuthenticationManager authenticationManager; private final JwtTokenUtil jwtTokenUtil;
public JwtAuthenticationFilter(AuthenticationManager authenticationManager, JwtTokenUtil jwtTokenUtil) { this.authenticationManager = authenticationManager; this.jwtTokenUtil = jwtTokenUtil; }
@Override public Authentication attemptAuthentication(HttpServletRequest request, HttpServletResponse response) throws AuthenticationException { try { LoginRequest loginRequest = new ObjectMapper().readValue(request.getInputStr eam(), LoginRequest.class); return authenticationManager.authenticate( new UsernamePasswordAuthenticationToken(loginRequest.getUsername(), loginRequest.getPassword(), Collections.emptyList()) ); } catch (IOException e) { throw new RuntimeException(e); } }
@Override protected void successfulAuthentication(HttpServletRequest request, HttpServletResponse response, FilterChain chain, Authentication authResult)throwsIOException,ServletException { UserDetails userDetails = (UserDetails) authResult.getPrincipal(); String token = jwtTokenUtil.generateToken(userDetails); response.addHeader("Authorization", "Bearer " + token); }
private static class LoginRequest { private String username; private String password;
public String getUsername() { return username; }
public void setUsername(String username) { this.username = username; }
public String getPassword() { return password; }
public void setPassword(String password) { this.password = password; } }}
复制代码
在这个实现中，我们继承了
UsernamePasswordAuthenticationFilter 类，并覆盖了 attemptAuthentication 和 successfulAuthentication 方法，以便在登录成功时生成 JWT 令牌并将其添加到 HTTP 响应头中。
Spring Security 配置类
最后，我们可以创建一个 Spring Security 配置类，以便配置验证和授权规则：
import org.springframework.beans.factory.annotation.Autowired;import org.springframework.context.annotation.Bean;import org.springframework.context.annotation.Configuration;import org.springframework.security.authentication.AuthenticationManager;import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;import org.springframework.security.config.annotation.method.configuration.EnableGlobalMethodSecurity;import org.springframework.security.config.annotation.web.builders.HttpSecurity;import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;import org.springframework.security.config.http.SessionCreationPolicy;import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;import org.springframework.security.crypto.password.PasswordEncoder;import org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter;
@Configuration@EnableWebSecurity@EnableGlobalMethodSecurity(prePostEnabled = true)public class SecurityConfig extends WebSecurityConfigurerAdapter { @Autowired private JwtUserDetailsService jwtUserDetailsService; @Autowired private JwtAuthenticationEntryPoint jwtAuthenticationEntryPoint; @Autowired private JwtTokenUtil jwtTokenUtil;
@Override protected void configure(HttpSecurity http) throws Exception { http.csrf().disable() .authorizeRequests().antMatchers("/authenticate").permitAll() .anyRequest().authenticated().and() .exceptionHandling().authenticationEntryPoint(jwtAuthenticationEntryPoint).and() .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS); http.addFilterBefore(newJwtAuthenticationFilter(authenticationManager(), jwtTokenUtil), UsernamePasswordAuthenticationFilter.class); } @Override protected void configure(AuthenticationManagerBuilder auth) throws Exception { auth.userDetailsService(jwtUserDetailsService).passwordEncoder(passwordEncoder()); } @Override @Bean public AuthenticationManager authenticationManagerBean() throws Exception { return super.authenticationManagerBean(); } @Bean public PasswordEncoder passwordEncoder() { return new BCryptPasswordEncoder(); }}
复制代码
在这个实现中，我们使用 JwtUserDetailsService 来验证用户登录信息，并使用
JwtAuthenticationEntryPoint 来处理验证错误。
我们还配置了 JwtAuthenticationFilter 来生成 JWT 令牌，并将其添加到 HTTP 响应头中。我们还定义了一个 PasswordEncoderbean，用于加密用户密码。
调试接口验证
现在，我们可以向/authenticate 端点发送 POST 请求，以验证用户登录信息并生成 JWT 令牌。例如：
bashcurl -X POST \ http://localhost:8080/authenticate \ -H 'Content-Type: application/json'\ -d '{ "username": "user", "password": "password"}'
复制代码
如果登录信息验证成功，将返回一个带有 JWT 令牌的 HTTP 响应头。我们可以使用这个令牌来访问需要授权的端点。例如：
bashcurl -X GET \ http://localhost:8080/hello \ -H 'Authorization: Bearer eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiJ1c2VyIiwiaWF0IjoxNjI0MDM2NzA4LCJleHAiOjE2MjQwMzc1MDh9.9fZS7jPp0NzB0JyOo4y4jO4x3s3KjV7yW1nLzV7cO_c'
复制代码
在这个示例中，我们向/hello 端点发送 GET 请求，并在 HTTP 头中添加 JWT 令牌。如果令牌有效并且用户有权访问该端点，则返回一个成功的 HTTP 响应。
总结
JWT 是一种简单、安全和可扩展的身份验证机制，适用于各种应用程序和场景。它可以减少服务器的负担，提高应用程序的安全性，并且可以轻松地扩展到其他应用程序中。
但是 JWT 也有一定的缺点，比如他的 payload 模块并没有明确说明一定要加密传输，所以当你没有额外做一些安全性措施的情况下，jwt 一旦被别人截获，很容易泄漏用户信息。所以，如果要增加 JWT 的在实际项目中的安全性，安全加固措施必不可少，包括加密方式，秘钥的保存，JWT 的过期策略等等。
当然实际中的认证鉴权框架不止有 JWT，JWT 只是解决了用户上下文传输的问题。实际项目中经常是 JWT 结合其他认证系统一同使用，比如 OAuth2.0。这里篇幅有限，就不展开。以后有机会再单独写一篇关于 OAuth2.0 认证架构的文章。
作者：京东物流 赵勇萍
内容来源：京东云开发者社区
评论