簡介

          JSON Web Token（JWT）是一個非常輕巧的規範，這個規範允許我們使用JWT在使用者和伺服器之間傳遞安全可靠的資訊。它是基於RFC 7519標準定義的一種可以安全傳輸的小巧和自包含的JSON物件。由於資料是使用數字簽名的，所以是可信任的和安全的。JWT可以使用HMAC演算法對secret進行加密或者使用RSA的公鑰私鑰對其進行簽名。

JWT的組成

頭部（Header）

 {
   "typ": "JWT",
   "alg": "HS256"
 }

  eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9

載荷（Payload）

{
  "iss": "why", 
  "iat": 1416797419, 
  "exp": 1448333419, 
  "aud": "www.example.com", 
  "sub": "taobao.com", 

}

• iss: 該JWT的簽發者，是否使用是可選的；
• sub: 該JWT所面向的使用者，是否使用是可選的；
• aud: 接收該JWT的一方，是否使用是可選的；
• exp(expires): 什麼時候過期，這裡是一個Unix時間戳，是否使用是可選的；
• iat(issued at): 在什麼時候簽發的(UNIX時間)，是否使用是可選的；
  
• nbf (Not Before)：如果當前時間在nbf裡的時間之前，則Token不被接受；一般都會留一些餘地，比如幾分鐘；，是否使用是可選的；

ewogICJpc3MiOiAid2h5IiwgCiAgImlhdCI6IDE0MTY3OTc0MTksIAogICJleHAiOiAxNDQ4MzMzNDE5LCAKICAiYXVkIjogInd
3dy5leGFtcGxlLmNvbSIsIAogICJzdWIiOiAidGFvYmFvLmNvbSIsIAp9

簽名（Signature）

eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.ewogICJpc3MiOiAid2h5IiwgCiAgImlhdCI6IDE0MTY3OTc0MTksIAogICJleHAiOiAxNDQ4MzMzNDE5LCAKICAiYXVkIjogInd
3dy5leGFtcGxlLmNvbSIsIAogICJzdWIiOiAidGFvYmFvLmNvbSIsIAp9

6OcLdX38eKWn1gCyJ6RNwsAvIvXxYq1CGBkFWgiTsyc

eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.ewogICJpc3MiOiAid2h5IiwgCiAgImlhdCI6IDE0MTY3OTc0MTksIAogICJleHAiOiAxNDQ4MzMzNDE5LCAKICAiYXVkIjogInd
3dy5leGFtcGxlLmNvbSIsIAogICJzdWIiOiAidGFvYmFvLmNvbSIsIAp9.6OcLdX38eKWn1gCyJ6RNwsAvIvXxYq1CGBkFWgiTsyc

JWT的工作流程

    
 如上圖所示：

JWT的JAVA實現

package why.test;

import io.jsonwebtoken.Claims;
import io.jsonwebtoken.JwtBuilder;
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;

import javax.crypto.spec.SecretKeySpec;
import javax.xml.bind.DatatypeConverter;
import java.security.Key;
import java.util.Date;

/**
 * @Author: 王洪玉
 * @Decsription: 生成Token的工具類
 * @Create: 2017/11/12 20:06
 * @Modified By:
 */
public class TokenUtil {
    private static final String APP_KEY = "why_key"; //進行數字簽名的私鑰，一定要保管好，不能和我一樣寫到部落格中。。。。。

    private TokenUtil(){

    }

    /**
     * 一個JWT實際上就是一個字串，它由三部分組成，頭部(Header)、載荷(Payload)與簽名(Signature)
     * @param id 當前使用者ID
     * @param issuer 該JWT的簽發者，是否使用是可選的
     * @param subject 該JWT所面向的使用者，是否使用是可選的
     * @param ttlMillis 什麼時候過期，這裡是一個Unix時間戳，是否使用是可選的
     * @param audience 接收該JWT的一方，是否使用是可選的
     * @return
     */
    public static String createJWT(String id,String issuer,String subject,long ttlMillis, String audience){


        SignatureAlgorithm signatureAlgorithm = SignatureAlgorithm.HS256;

        long nowMillis = System.currentTimeMillis();
        Date now = new Date(nowMillis);

        byte[] apiKeySecretBytes = DatatypeConverter.parseBase64Binary(APP_KEY);

        Key signingKey = new SecretKeySpec(apiKeySecretBytes, signatureAlgorithm.getJcaName());

        JwtBuilder jwtBuilder = Jwts.builder()
                .setId(id)
                .setSubject(subject)
                .setIssuedAt(now)
                .setIssuer(issuer)
                .setAudience(audience)
                .signWith(signatureAlgorithm,signingKey);
//設定Token的過期時間
        if(ttlMillis >=0){  
            long expMillis = nowMillis + ttlMillis;
            Date exp = new Date(expMillis);
            jwtBuilder.setExpiration(exp);
        }

        return jwtBuilder.compact();

    }

    //私鑰解密token資訊
    public static Claims getClaims(String jwt) {
        return Jwts.parser()
                .setSigningKey(DatatypeConverter.parseBase64Binary(APP_KEY))
                .parseClaimsJws(jwt).getBody();
    }

}

    @Test
    public void testCreateToken(){
        String userId = "WKSH121321KKsdfk";
        String issuer = "http://whytfjybj.com";
        String subject = "師範學院";
        long ttlMillis = 1000 * 60;
        String audience = "schoolNo";
        String token = TokenUtil.createJWT(userId,issuer,subject,ttlMillis,audience);
        //打印出token資訊
        System.out.println(token);


//        解密token資訊
        Claims claims = TokenUtil.getClaims(token);
        System.out.println("---------------------------解密的token資訊----------------------------------");
        System.out.println("ID: " + claims.getId());
        System.out.println("Subject: " + claims.getSubject());
        System.out.println("Issuer: " + claims.getIssuer());
        System.out.println("Expiration: " + claims.getExpiration());

    }