Java如何实现登录token令牌

Java实现登录token令牌的方法有多种，一种较为常见的方式是利用JSON Web Token（JWT）。

1. 什么是JWT？

JWT是一种开放标准（RFC 7519），可以在不同应用程序之间安全地传递信息，该信息可以进行身份验证和授权。JWT包含三部分：头部，载荷（也称为声明）和签名。头部通常包含使用的签名算法，载荷包含请求的用户数据和其他元数据，签名用于验证发件人身份。

1. 如何在Java中实现JWT？

下面是一个实现JWT的示例：

import io.jsonwebtoken.Claims;
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;

import javax.crypto.spec.SecretKeySpec;
import javax.xml.bind.DatatypeConverter;
import java.security.Key;
import java.util.Date;

public class JWTUtils {

    private static final String SECRET_KEY = "secretkey";
    private static final long EXPIRATION_TIME = 900_000;  // token过期时间（15分钟）

    // 用户登录成功后生成JWT
    public static String generateToken(String username) {
        byte[] apiKeySecretBytes = DatatypeConverter.parseBase64Binary(SECRET_KEY);
        Key signingKey = new SecretKeySpec(apiKeySecretBytes, SignatureAlgorithm.HS256.getJcaName());

        long nowMillis = System.currentTimeMillis();
        Date now = new Date(nowMillis);

        // JWT签发时间
        long expMillis = nowMillis + EXPIRATION_TIME;
        Date exp = new Date(expMillis);

        // 设置JWT载荷（claims）
        Claims claims = Jwts.claims().setSubject(username);

        // 使用HS256算法生成JWT
        return Jwts.builder()
                .setClaims(claims)
                .setIssuedAt(now)
                .setExpiration(exp)
                .signWith(signingKey, SignatureAlgorithm.HS256)
                .compact();
    }

    // 从JWT中解析用户名
    public static String getUsernameFromToken(String token) {
        Claims claims = Jwts.parser()
                .setSigningKey(DatatypeConverter.parseBase64Binary(SECRET_KEY))
                .parseClaimsJws(token).getBody();
        return claims.getSubject();
    }

}

在上面的代码中，我们使用了第三方库io.jsonwebtoken来生成和解析JWT。generateToken方法生成了一个JWT，其中包括了签发者、过期时间等信息，它们都被写入了JWT的payload。getUsernameFromToken方法可以从JWT中解析出用户名信息。

1. 如何在Java Web项目中使用JWT实现登录?

实际上，JWT令牌的具体实现方式会根据具体的业务场景而有所不同，下面是一个简单的登录鉴权流程示例：

用户在前端页面上输入用户名和密码，并发送请求至后端。后端服务器将用户名和密码用于身份验证，如果验证通过，就生成一个JWT令牌。后端将该JWT发送回前端，并存储在Cookie或localStorage中。前端后续所有的请求都需要在请求头中带上JWT令牌，通过后端进行鉴权。

下面是一个Servlet代码示例，展示了如何使用JWT实现登录：

public class LoginServlet extends HttpServlet {

    protected void doPost(HttpServletRequest request, HttpServletResponse response) {
        String username = request.getParameter("username");
        String password = request.getParameter("password");

        // 判断用户名和密码是否正确，如果正确，就进行JWT鉴权
        if (checkUser(username, password)) {
            // 生成JWT令牌
            String token = JWTUtils.generateToken(username);

            // 将JWT令牌存储在Cookie中，设置过期时间为15分钟
            Cookie cookie = new Cookie("token", token);
            cookie.setMaxAge(15 * 60);
            response.addCookie(cookie);

            // 返回登录成功信息
            response.setContentType("application/json;charset=UTF-8");
            try (PrintWriter out = response.getWriter()) {
                out.println("{\"msg\":\"login successful!\"}");
            } catch (Exception e) {
                e.printStackTrace();
            }
        } else {
            response.setContentType("application/json;charset=UTF-8");
            try (PrintWriter out = response.getWriter()) {
                out.println("{\"msg\":\"login failed!\"}");
            } catch (Exception e) {
                e.printStackTrace();
            }
        }
    }

    // 判断用户名和密码是否正确
    private boolean checkUser(String username, String password) {
        // 这里使用一个假的用户信息进行验证
        return "admin".equals(username) && "123456".equals(password);
    }
}

在上面的代码中，我们首先将登录请求的用户名和密码用于身份验证。如果验证通过，就生成一个JWT令牌，并存储在浏览器的Cookie中。如果失败，就返回登录失败信息。在后续的请求中，前端发送的请求头中应该包含该JWT令牌。后端对请求进行解析和鉴权，即可实现基于JWT的登录。