java实现基于token认证

随着互联网的不断发展，技术的迭代也非常之快。我们的用户认证也从刚开始的用户名密码转变到基于cookie的session认证，然而到了今天，这种认证已经不能满足与我们的业务需求了（分布式，微服务）。我们采用了另外一种认证方式：基于token的认证。

一、与cookie相比较的优势：

1、支持跨域访问，将token置于请求头中，而cookie是不支持跨域访问的；

2、无状态化，服务端无需存储token，只需要验证token信息是否正确即可，而session需要在服务端存储，一般是通过cookie中的sessionID在服务端查找对应的session；

3、无需绑定到一个特殊的身份验证方案（传统的用户名密码登陆），只需要生成的token是符合我们预期设定的即可；

4、更适用于移动端（Android，iOS，小程序等等），像这种原生平台不支持cookie，比如说微信小程序，每一次请求都是一次会话，当然我们可以每次去手动为他添加cookie，详情请查看博主另一篇博客；

5、避免CSRF跨站伪造攻击，还是因为不依赖cookie；

6、非常适用于RESTful API,这样可以轻易与各种后端（java，.net，python......）相结合，去耦合

还有一些优势这里就不一一列举了。

二、基于JWT的token认证实现

JWT：JSON Web Token，其实token就是一段字符串，由三部分组成：Header，Payload，Signature。

导入依赖：

	<dependency>
        <groupId>com.auth0</groupId>
        <artifactId>java-jwt</artifactId>
        <version>3.3.0</version>
    </dependency>

代码实现：

package token;
import com.auth0.jwt.JWT;
import com.auth0.jwt.JWTVerifier;
import com.auth0.jwt.algorithms.Algorithm;
import com.auth0.jwt.interfaces.DecodedJWT;

import java.util.Date;
import java.util.HashMap;
import java.util.Map;

public class TokenUtil {
    //设置过期时间
    private static final long EXPIRE_DATE =24* 60*60000;
    //token秘钥
    private static final String TOKEN_SECRET = "ZCfasfhuaUUHufguGuwu2020BQWE";

public static String token(String username, String password) {

    String token = "";
    try {
        //过期时间
        Date date = new Date(System.currentTimeMillis() + EXPIRE_DATE);
        //秘钥及加密算法
        Algorithm algorithm = Algorithm.HMAC256(TOKEN_SECRET);
        //设置头部信息
        Map<String, Object> header = new HashMap<>();
        header.put("typ", "JWT");
        header.put("alg", "HS256");
        //携带username，password信息，生成签名
        token = JWT.create()
                .withHeader(header)
                .withClaim("username", username)
                .withClaim("password", password).withExpiresAt(date)
                .sign(algorithm);
    } catch (Exception e) {
        e.printStackTrace();
        return null;
    }
    return token;
}

public static boolean verify(String token) {
    /**
     * @desc 验证token，通过返回true
     * @params [token]需要校验的串
     **/
    try {
        Algorithm algorithm = Algorithm.HMAC256(TOKEN_SECRET);
        JWTVerifier verifier = JWT.require(algorithm).build();
        DecodedJWT jwt = verifier.verify(token);
        return true;
    } catch (Exception e) {
        e.printStackTrace();
        return false;
    }
}

public static void main(String[] args) throws InterruptedException {
    String username = "qwqw1";
    String password = "1231";
    String token = token(username, password);
    System.out.println(token);
    boolean b = verify("eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJwYXNzd29yZCI6IjEyMzEiLCJleHAiOjE2MDc1MjA1MDQsInVzZXJuYW1lIjoicXdxdzEifQ.9osuNReil7WwNYpL9HxnlkfL_7jndIikFYukLnD55vI");
    System.out.println(b);
}
}

运行结果：

	eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJwYXNzd29yZCI6IjEyMzEiLCJleHAiOjE2MDc1MjA1MjMsInVzZXJuYW1lIjoicXdxdzEifQ.lLnkSyawHmX3sNP0qrUpoQH9ata6ZeSTeVC7j6MeQbc
true

注意：本文归作者所有，未经作者允许，不得转载