JWT示例与原理

简介

JWT(JSON Web Token)是一种去中心化的web认证方案，信息存储在客户端。

数据结构

JWT通常由3部分组成，Header、Payload、Signature。每个部分都是用Base64Url编码后的字符串，每个部分之间由点分割。形如

Header.Payload.Signature

注: Base64Url是Base64的一个变种，主要是将Base64编码之后的"+"使用"-"替换，"/"使用"_"替换。因为字符+和/在URL中不是安全的字符。

Header

Header 部分是一个 JSON 对象，描述 JWT 的元数据，通常是下面的样子。

{
  "alg": "RS256",
  "typ": "JWT"
}

其中alg表示签名算法，typ属性表示这个令牌（token）的类型（type），JWT 令牌统一写为JWT。

Payload

Payload 部分也是一个 JSON 对象，用来存放实际需要传递的数据。JWT 规定了7个官方字段，供选用。

• iss (issuer)：签发人
• exp (expiration time)：过期时间
• sub (subject)：主题
• aud (audience)：受众
• nbf (Not Before)：生效时间
• iat (Issued At)：签发时间
• jti (JWT ID)：编号

除了官方字段，你还可以在这个部分定义私有字段，下面就是一个例子。

{
    "loginName": "xxxx",
    "nickname": "xxxxx",
    "sex": "男"
}

Signature

Signature是对前面两部分的一个签名，防止数据被篡改。比如使用RS256签名算法，则可以使用以下公式可以得到签名部分。

Signature=rsa(sha256(base64EncodeUrl(Header) + "." + base64EncodeUrl(Payload)), privateKey)

即使用base64Url编码Header、Payload，然后再使用sha256摘要算法取得hash值，最后再用rsa非对称算法使用私钥进行加密。

注意: 发送给客户端的JWT字符串的每一部分都是经过Base64URL编码后的字符串，然后使用点连接 。

验证JWT是否合法

既然知道了怎么签名的，那么解签就容易了

拿到JWT字符串后，截取前面的header+payload，这里已经是经过base64Url编码之后的结果了，最后一部分则是签名部分。

用rsa算法根据公钥解密签名，便能拿到sha256算法的hash值了，于是用这个值再和header+payload经过sha256 hash后的值比较即可。

注：基于RS256签名算法，签名需要使用私钥，因为token是服务端生成的，第三方使用公钥解签，第三方可以有很多。私钥保密，公钥公开。比如统一认证中心生成JWT字符串，应用a，应用b都能使用公开的公钥来验证签名是否合法的。

签名与解签代码演示

生成合法的RSA配对秘钥用于测试

@Test
public void generateKey() throws Exception {
    KeyPairGenerator keyPairGenerator = KeyPairGenerator.getInstance("RSA");
    // 设置密钥长度，通常为 2048 位
    keyPairGenerator.initialize(2048);
    KeyPair keyPair = keyPairGenerator.generateKeyPair();
    PublicKey publicKey = keyPair.getPublic();
    PrivateKey privateKey = keyPair.getPrivate();

    // 使用base64编码, 使用方使用base64解码得到字节数组即可
    System.out.println("PublicKey: " + Base64.getEncoder().encodeToString(publicKey.getEncoded()));
    System.out.println("PrivateKey: " + Base64.getEncoder().encodeToString(privateKey.getEncoded()));
}

签名与验签

public class SignatureAlgTest {

    /**
     * 注意公钥和私钥必须是合法的RSA配对秘钥
     */
    @Test
    public void testSignAndVerify() throws Exception{
        final String publicKey ="MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAvzFky4s0gcmGytnaIS4JT/pcuW6Yn565mFjT3V1Qo5AMDMSvL5lp7fixGqtUQWDm1az+Vu6QMbLJAR6HyeNMa9EfkhUJQPFFNg29ydDXqzJjhdfdo9O78V20Pwu7ud7MRCq05COU6FMQ+sZmBrylokMyB5YDyBEB/bMo5pcEaeJAq9cd3ORbLBWKJz8NU6nPSkSJEjX2DGRekH/+lQazmpB+kUg8b7rw6pfYwLcSsWpvcgnHWeExuS7vGLQu2cT3SlAfUu9dp+o5ECQX8OmM7YzyMXuTd8D4ijSV8ZPfLAuktuSjMiX0rTHwxBWSUm6LIjNiF5jW9lWUU92mVPxpvwIDAQAB";
        final String privateKey = "MIIEvQIBADANBgkqhkiG9w0BAQEFAASCBKcwggSjAgEAAoIBAQC/MWTLizSByYbK2dohLglP+ly5bpifnrmYWNPdXVCjkAwMxK8vmWnt+LEaq1RBYObVrP5W7pAxsskBHofJ40xr0R+SFQlA8UU2Db3J0NerMmOF192j07vxXbQ/C7u53sxEKrTkI5ToUxD6xmYGvKWiQzIHlgPIEQH9syjmlwRp4kCr1x3c5FssFYonPw1Tqc9KRIkSNfYMZF6Qf/6VBrOakH6RSDxvuvDql9jAtxKxam9yCcdZ4TG5Lu8YtC7ZxPdKUB9S712n6jkQJBfw6YztjPIxe5N3wPiKNJXxk98sC6S25KMyJfStMfDEFZJSbosiM2IXmNb2VZRT3aZU/Gm/AgMBAAECggEALHel/Es3npoK/iH2ADKPWukdaMlmuPU3ME40lG8wIqKNkuip4BW70+u78Tp44a3Sck8GZpycr9pnsplxtoxliUv9nkHDQbX7xWsjwY0PpBMXn5kJxSEpPKVxFxq5Ai1l79LI+Kin6PLs545+S0HT+i3LtIT5Ay6lemaRdDQahC+CmSlHCTcaz38RnjFLntYGPQcjWZUqN5ROgizwCDmt/ZE2xM9LH9Wrp1lTl5D7vkLmNTIAJ+Bm3ANat0OjhMpQ1Dmc82NYT8BNzWRx25uhsRHcS7+NcVQk35WMiZXRL3+t18saNSQOYXxmlO5qrCIOjyUGi9WNYTrGh8KlgchhSQKBgQDn/XFW+HnknJJIRh3GCValymWgnXbKzGlRuqKIoCjoiIjOBQaBshQ+j3IdwortxBmgHbx4uh2z2xaPGynSwJXVKoHoksY6zlJ4Bb5TaQgxapEcqOlHIfUkZfE6O5W/MHP4ACvxl0lIod4B45YCLRFvDoLneIIBXhvL7ioUt/pxdwKBgQDS+wkwvEGd7T10baxYbXU2iBo43hPHIUU1JwdNaQjrZ8QMyVKm0/mwqvVPn5BqGiO3Jq7QV+vjcAh1LOwJGzo9xLOD2UXaPAtDA9OUHAfL6Od45eVweM3h9/ecL2pmEElPqSS8puzFE6MA5qU1KEyL4x/x9jIQaBAihx7tYheb+QKBgB2fDsm8EFRQaZ0w1rxilN22aiOH95MNZqU432fyi0alqFIl8h69TjhuuHN0U6joUR1Qrq/7k69TWh4LqdtvG7KMKuo3U3hOv9jzYsnjr1gf80dlieO7QkHTgmmdEhHHbgdMfk/qsUDE6kPze0Pr3T4A7FYB3RevnHz9fAIJO8EhAoGARgxBBeRLKOL+l2xeX1GgLAXOJvlcua2LK9WUcBgidP4TsmcZQPh6GzT3k4MX0JJzLzjxq4y1beLhe/35NCDNGnr3WxxFO+rZlltr4O3ZjNL8H0C9B7WkLZVFqZ54hgB8Rq2S2+vUCq61XPQ2/8osd/llvtEN2DKkwMH5+7iovAkCgYEAyge6ONdXEhkTCsIbYbOgzL5CUBAQERt2+KGHZC9AeVQwl9xZUznDqKvdKz3A5io7PybSugMLNhC+5ZERFbXf7itanR+iXD68k0ySQcDPBVysQsIrOWqaIeGwM7vIn45BJLdW/YV/wHX36Bp0Sp+CNxJLosf2VzUDJuFyPh0wIhs=";

        // 需要签名的内容
        final String text = "hello world";

        // 最终的签名字符串(JWT的signature部分), 使用base64URL编码
        String signStr = sign(text, privateKey);

        // 验签
        boolean verify = verifySign(text, signStr, publicKey);
        Assertions.assertTrue(verify);

        // 修改签名字符串(不能直接修改字符串, 自己乱修改的可能不符合base64URL编码规范)
        byte[] signBytes = Base64.getUrlDecoder().decode(signStr);
        byte[] signBytesUpdate = Arrays.copyOf(signBytes, signBytes.length);
        signBytesUpdate[0] = 97;
        String signStrUpdate = Base64.getUrlEncoder().encodeToString(signBytesUpdate);

        // 再次验签, 由于篡改了内容, 因此验签失败
        verify = verifySign(text, signStrUpdate, publicKey);
        Assertions.assertFalse(verify);
    }

    /**
     * 签名
     */
    private String sign(String text, String privateKey) throws Exception {
        Signature signature = Signature.getInstance("SHA256withRSA");
        // 使用私钥签名
        signature.initSign(privateKey(privateKey));
        signature.update(text.getBytes(StandardCharsets.UTF_8));

        byte[] signBytes = signature.sign();
        // 最终的签名字符串(JWT的signature部分), 使用base64URL编码
        return Base64.getUrlEncoder().encodeToString(signBytes);
    }

    /**
     * 验签
     */
    private boolean verifySign(String text, String signStr, String publicKey) throws Exception {
        // 解签验证
        Signature signature = Signature.getInstance("SHA256withRSA");
        // 使用公钥验签
        signature.initVerify(publicKey(publicKey));
        signature.update(text.getBytes(StandardCharsets.UTF_8));
        return signature.verify(Base64.getUrlDecoder().decode(signStr));
    }
    
     /**
     * 使用给定字符串构建公钥实例
     * @param key base64编码的字符串
     */
    private PublicKey publicKey(String key) throws Exception{
        KeyFactory keyFactory = KeyFactory.getInstance("RSA");
        byte[] keyBytes = Base64.getDecoder().decode(key);
        // RSA公钥需要使用X509EncodedKeySpec
        return keyFactory.generatePublic(new X509EncodedKeySpec(keyBytes));
    }

    /**
     * 使用给定字符串构建私钥实例
     * @param key base64编码的字符串
     */
    private PrivateKey privateKey(String key) throws Exception{
        KeyFactory keyFactory = KeyFactory.getInstance("RSA");
        byte[] keyBytes = Base64.getDecoder().decode(key);
        // RSA私钥需要使用PKCS8EncodedKeySpec
        return keyFactory.generatePrivate(new PKCS8EncodedKeySpec(keyBytes));
    }
}

JWT API使用

使用jjwt库(Java JWT)

<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt</artifactId>
    <version>0.12.5</version>
</dependency>

public class JwtTest {

    @Test
    public void testCreateAndParse() {
        KeyPair keyPair = Jwts.SIG.RS256.keyPair().build();
        PrivateKey privateKey = keyPair.getPrivate();
        PublicKey publicKey = keyPair.getPublic();

        Map<String, Object> customPayload = new HashMap<>();
        customPayload.put("loginName", "wastonl");
        customPayload.put("sex", "男");
        customPayload.put("age", 18);

        long currentTime = System.currentTimeMillis();
        String jwt = Jwts.builder()
                .claims(customPayload)
                // 签发时间
                .issuedAt(new Date(currentTime))
                // 1小时后过期
                .expiration(new Date(currentTime + 1000 * 60 * 60))
                .signWith(privateKey, Jwts.SIG.RS256)
                .compact();
        System.out.println(jwt);

        Jws<Claims> claimsJws = Jwts.parser().verifyWith(publicKey)
                .build()
                .parseSignedClaims(jwt);
        System.out.println(claimsJws.getPayload());
    }
}