JWT是一种紧凑且自包含的用于在多方传递JSON对象技术，传递的数据可以使用数字签字增加且安全，可以使用HMAC加密算法或RSA公钥/私钥加密

• 紧凑：数据小，可以提供URL，POST/GET参数请求头发送，传输数据快
• 自包含：使用payload数据块记录用户必要且不隐私的数据，可以有效的减少数据库访问次数

JWT的主要作用：

• 用户身份验证：用户身份验证，一旦用户登录，每个后续请求都将包含JWT，允许用户访问该令牌允许的路由，服务和资源，单点登录就是使用了JWT做为数据传输和效验，因为它开销小，并且能轻松跨域
• 数据信息交换：JWT是一种用于非常方便的多方传输(跨站传输)数据的载体，因为其可以使数据前面来保证数据的有效性和安全性

JWT的数据结构：A.B.C(中间由字符点.来分割三部分数据)

1. A：header头信息
2. B：payload数据块
3. C：Signature签名(可以由于加密)

1，Header

Header数据结构(Json格式)：{"alg":"加密算法名词","typ":"JWT"}

• alg：加密算法定义内容，如：HMAC，SHA256或RSA
• typ：是token类型，这里固定为JWT

2，payload

在payload数据块中一般用于记录实体(通常为用户信息)或其他数据

payload分为三部分：

1. 已注册信息(registered claims)
2. 公开数据(public claims)
3. 私有数据(private claims)

1，已注册信息：iss(发行者)，exp(到期时间)，sub(主题)，aud(受众)等

2，公开数据和私有数据：一般是在JWT注册表中增加定义，避免和已注册信息冲突

其中公开数据和私有数据可以由开发者自定义

注：即使JWT有签名加密机制，但是payload内容都是明文记录，除非记录是加密数据，否则不排除泄露隐私数据的可能，不推荐payload中记录任何敏感数据

3，Signature

签名信息，这是一个由开发者提供的信息，是服务器验证的传递数据是否安全有效的标准，在生成JWT最终数据之前，先使用header中定义的加密算法，将header和payload进行加密，并使用点进行连接，如：加密后的head和payload再使用相同的加密算法对加密后的数据和签名进行加密得到最终结果

JWT的执行流程：

⑤JWTUtils：核心部分

//JWT工具类(核心部分)
public class JWTUtils {


    //服务器的key,用于做加解密的key数据,如果可以使用客户端生成的key当前定义可以不使用
    private static final String JWT_SECERT = "test_jwt_secert";


    //ObjectMapper用于java对象和json转化的集合
    private static final ObjectMapper MAPPER = new ObjectMapper();


    //自定义状态码
    private static final int JWT_ERRCODE_EXPRRE = 1000;//Token过期
    private static final int JWT_ERRCODE_FAIL = 1001;//验证不通过


    public static SecretKey generalKey(){
        try{
            //将服务器的key转化为byte数组
            byte[] encodeKey = JWT_SECERT.getBytes("UTF-8");
            //通过服务端key进行加密获取加密的密匙，AES是加密方式
            SecretKeySpec aes = new SecretKeySpec(encodeKey, 0, encodeKey.length, "AES");
            return aes;
        } catch (UnsupportedEncodingException e) {
            e.printStackTrace();
            return null;
        }
    }
    /*
    * 签发JWT，创建token的方法
    * id：jwt的唯一身份标识，主要用于一次性token，从而回避攻击
    * iss：jwt签发者
    * subject：jwt所面向的用户，pyeload中记录的public Claims 当前环境就是用户登录名
    * ttlMillis：token的有效期(单位：毫秒)
    * token：token是一次性的，是为一个用户的有效登录期准备的一个token，用户退出或者超时，token失效
    * */
    public static String CreateJWT(String id,String iss,String subject,long ttlMillis){
        //加密算法
        SignatureAlgorithm signatureAlgorithm = SignatureAlgorithm.HS256;
        //当前时间
        long nowMillis = System.currentTimeMillis();
        //当前时间的日期对象
        Date date = new Date(nowMillis);
        //获取服务端加密的密钥
        SecretKey secretKey = generalKey();
        //创建JWT的构建器，就是使用指定信息和加密算法，生成Token令牌
        JwtBuilder builder = Jwts.builder()
                .setId(id)
                .setIssuer(iss)
                .setSubject(subject)
                .setIssuedAt(date)//token的生成时间
                .signWith(signatureAlgorithm,secretKey);//设置密钥和算法
        if(ttlMillis>=0){
            long expMillis = nowMillis + ttlMillis;//当前时间+失效时间
            Date date1 = new Date(expMillis);
            builder.setExpiration(date1);//token的失效时间
        }
        return  builder.compact();//生成token
    }


    //效验Token
    public static JWTResult validataJWT(String jwsStr){
        JWTResult result  = new JWTResult();
        Claims claims = null;
        try {
            claims = parseJWT(jwsStr);
            result.setCode(200);
            result.setSuccess(true);
            result.setClaims(claims);
        }catch (ExpiredJwtException e){//token超时异常
            result.setCode(JWT_ERRCODE_EXPRRE);
            result.setSuccess(false);
        }catch (SignatureException e){//效验异常
            result.setSuccess(false);
            result.setCode(JWT_ERRCODE_FAIL);
        }catch (Exception e){//其他异常，JWT提供了很多异常，我这里只写了两个
            result.setSuccess(false);
            result.setCode(JWT_ERRCODE_FAIL);
        }
        return result;
    }


    //解析JWT字符串
    public static Claims parseJWT(String jwt){
        SecretKey secretKey = generalKey();
        return Jwts.parser()
                .setSigningKey(secretKey)
                .parseClaimsJws(jwt)
                .getBody();//获取Token中的PyeLoad数据
    }


    //生成subject信息（subObj是要转化的对象 java对象 -> JSON字符串）
    public static String generalSubject(Object subObj){
        try {
            return MAPPER.writeValueAsString(subObj);
        } catch (JsonProcessingException e) {
            e.printStackTrace();
            return null;
        }
    }
}

⑥Controller

@Controller
public class JWTController {

    @RequestMapping("/test")
    @ResponseBody
    public Object test(HttpServletRequest request){
        //获取请求头中携带的Token
        String Token = request.getHeader("Authorization");
        //效验Token
        JWTResult result = JWTUtils.validataJWT(Token);

        JWTResponseData responseData = new JWTResponseData();

        //效验成功
        if(result.isSuccess()){
            responseData.setCode(200);
            responseData.setData(result.getClaims().getSubject());
            //更新Token，超时时间为1分钟
            String jwt = JWTUtils.CreateJWT(result.getClaims().getId(), "WQL_SSO", result.getClaims().getSubject(), 1 * 60 * 1000);
            responseData.setToken(jwt);
            responseData.setMsg("效验成功！");
            return responseData;
        }else {
            responseData.setCode(500);
            responseData.setMsg("用户未登录！");
            return request;
        }
    }


    @RequestMapping("/login")
    @ResponseBody
    public Object login(String username,String password){
        JWTResponseData responseData;
        System.out.print(username+"\n"+password);
        if(JWTUsers.isLogin(username,password)){
            //Subject转化
            JWTSubject jwtSubject = new JWTSubject(username);
            //创建一个Token
            String jwtToken = JWTUtils.CreateJWT(UUID.randomUUID().toString(), "WQL_SSO", JWTUtils.generalSubject(jwtSubject), 1 * 60 * 1000);
            responseData = new JWTResponseData();
            responseData.setCode(200);
            responseData.setData(null);
            responseData.setMsg("登录成功");
            responseData.setToken(jwtToken);
        }else {
            responseData = new JWTResponseData();
            responseData.setCode(500);
            responseData.setData(null);
            responseData.setMsg("登录失败");
            responseData.setToken(null);
        }
        return responseData;
    }
}