如何使用会话Cookie和Java实现JWT身份验证

下面我将详细讲解如何使用会话Cookie和Java实现JWT身份验证的完整攻略。

什么是JWT

JWT（Json Web Token）是一套基于JSON格式的开放标准，用于在不同系统之间安全地传输信息。它通常用于身份验证和授权，可提高Web应用程序的安全性。

JWT由三部分组成：Header、Payload和Signature。Header包含JWT的元数据，如类型（typ）、算法（alg）。Payload包含有关主题（subject）的声明，通常包含用户身份信息、权限等数据。Signature使用指定算法对Header和Payload进行签名，并使用密钥对签名进行验证。

什么是会话Cookie

会话Cookie是存储在用户浏览器中的小文件，用于跟踪用户的会话状态。当用户首次访问网站时，服务器会生成一个唯一的session ID，并将其存储在客户端的Cookie中。当用户访问网站的其他页面时，session ID会在Cookie中自动传递给服务器，以便服务器能够识别用户，并保持用户的登录状态。

如何使用会话Cookie和Java实现JWT身份验证

下面是实现JWT身份验证的完整攻略，包括使用会话Cookie和Java。

步骤一：生成JWT

1. 使用Java JWT库（例如jjwt）生成JWT。

String secret = "MySecret";
Algorithm algorithm = Algorithm.HMAC256(secret);

String token = JWT.create()
        .withIssuer("auth0")
        .withSubject("123456")
        .withExpiresAt(new Date(System.currentTimeMillis() + 60 * 60 * 1000)) // 1小时后过期
        .sign(algorithm);

1. 将JWT存储在会话Cookie中。

Cookie cookie = new Cookie("jwt", token);
cookie.setMaxAge(60 * 60); // 1小时过期
response.addCookie(cookie);

步骤二：验证JWT

1. 从会话Cookie中获取JWT。

Cookie[] cookies = request.getCookies();
String token = null;

if (cookies != null) {
    for (Cookie cookie : cookies) {
        if (cookie.getName().equals("jwt")) {
            token = cookie.getValue();
            break;
        }
    }
}

if (token == null) {
    // 用户未登录
    return;
}

1. 验证JWT的签名是否正确。

try {
    Algorithm algorithm = Algorithm.HMAC256("MySecret");
    JWTVerifier verifier = JWT.require(algorithm).withIssuer("auth0").build();

    DecodedJWT jwt = verifier.verify(token);
} catch (JWTVerificationException exception) {
    // JWT签名验证失败
    return;
}

示例1：生成JWT并返回给前端

@RestController
@RequestMapping("/api")
public class ApiController {

    @GetMapping("/login")
    public ResponseEntity<String> login() {
        try {
            String secret = "MySecret";
            Algorithm algorithm = Algorithm.HMAC256(secret);

            String token = JWT.create()
                    .withIssuer("auth0")
                    .withSubject("123456")
                    .withExpiresAt(new Date(System.currentTimeMillis() + 60 * 60 * 1000)) // 1小时后过期
                    .sign(algorithm);

            return ResponseEntity.ok(token);
        } catch (Exception e) {
            return ResponseEntity.status(HttpStatus.INTERNAL_SERVER_ERROR).body("Failed to generate token");
        }
    }
}

示例2：验证JWT并获取用户信息

@RestController
@RequestMapping("/api")
public class ApiController {

    @GetMapping("/info")
    public ResponseEntity<String> getInfo(HttpServletRequest request) {
        try {
            Cookie[] cookies = request.getCookies();
            String token = null;

            if (cookies != null) {
                for (Cookie cookie : cookies) {
                    if (cookie.getName().equals("jwt")) {
                        token = cookie.getValue();
                        break;
                    }
                }
            }

            if (token == null) {
                return ResponseEntity.status(HttpStatus.UNAUTHORIZED).body("Unauthorized");
            }

            Algorithm algorithm = Algorithm.HMAC256("MySecret");
            JWTVerifier verifier = JWT.require(algorithm).withIssuer("auth0").build();

            DecodedJWT jwt = verifier.verify(token);

            return ResponseEntity.ok(String.format("User %s is logged in", jwt.getSubject()));
        } catch (Exception e) {
            return ResponseEntity.status(HttpStatus.INTERNAL_SERVER_ERROR).body("Failed to get user info");
        }
    }
}

以上就是使用会话Cookie和Java实现JWT身份验证的完整攻略。希望对您有所帮助。