JWT令牌技术实现登录校验

一.简单登录功能

在登录界面中，我们可以输入用户的用户名以及密码，然后点击 "登录" 按钮就要请求服务器，服务端判断用户输入的用户名或者密码是否正确。如果正确，则返回成功结果，跳转至系统首页面。

1.功能开发

1.分析

登录的逻辑就是：接收前端请求传递的用户名和密码，然后再根据用户名和密码查询用户信息，如果用户信息存在，则说明用户输入的用户名和密码正确。如果查询到的用户不存在，则说明用户输入的用户名和密码错误。

2.实现

controller层

获取请求用户名密码使用Emp对象获取

@RequestBody注解

返回响应查询有结果success 否则false

@RestController
public class LoginController {

    @Autowired
    private EmpService empService;

    @PostMapping("/login")
    public Result login(@RequestBody Emp emp){
        Emp e = empService.login(emp);
        return  e != null ? Result.success():Result.error("用户名或密码错误");
    }
}

service层

调用mapper层

public interface EmpService {

    /**
     * 用户登录
     * @param emp
     * @return
     */
    public Emp login(Emp emp);

    //省略其他代码...
}

EmpServiceImpl
@Slf4j
@Service
public class EmpServiceImpl implements EmpService {
    @Autowired
    private EmpMapper empMapper;

    @Override
    public Emp login(Emp emp) {
        //调用dao层功能：登录
        Emp loginEmp = empMapper.getByUsernameAndPassword(emp);

        //返回查询结果给Controller
        return loginEmp;
    }   
    
    //省略其他代码...
}

mapper层

查询数据返回结果

EmpMapper
@Mapper
public interface EmpMapper {

   @Select("select id, username, password, name, gender, image, job, entrydate, dept_id, create_time, update_time " +
            "from emp " +
            "where username=#{username} and password =#{password}")
    public Emp getByUsernameAndPassword(Emp emp);
    
    //省略
}

3.测试

功能开发完毕后，我们就可以启动服务，打开postman进行测试

二. 登录校验功能

登录校验，指的是我们在服务器端接收到浏览器发送过来的请求之后，首先我们要对请求进行校验。先要校验一下用户登录了没有，如果用户已经登录了，就直接执行对应的业务操作就可以了；如果用户没有登录，此时就不允许他执行相关的业务操作，直接给前端响应一个错误的结果
需要使用到会话跟踪技术

1.会话技术

在web开发当中，会话指的就是浏览器与服务器之间的一次连接，我们就称为一次会话。

在用户打开浏览器第一次访问服务器的时候，这个会话就建立了，直到有任何一方断开连接，此时会话就结束了。在一次会话当中，是可以包含多次请求和响应的。
比如登录一个系统，访问查询员工，修改员工这两次请求都属于同一次会话

2.会话跟踪

服务器需要识别多次请求是否来自于同一浏览器

服务器会接收很多的请求，但是服务器是需要识别出这些请求是不是同一个浏览器发出来的。比如：1和2这两个请求是不是同一个浏览器发出来的，3和4这两个请求不是同一个浏览器发出来的。如果是同一个浏览器发出来的，就说明是同一个会话。如果是不同的浏览器发出来的，就说明是不同的会话。

使用会话跟踪技术就是要完成在同一个会话中，多个请求之间进行共享数据。

为什么要共享数据呢？

由于HTTP是无状态协议，在后面请求不能拿到前一次请求生成的数据，此时就需要在一次会话的多次请求之间进行数据共享

会话跟踪技术有3种：

1. Cookie（客户端会话跟踪技术）
- 数据存储在客户端浏览器当中
2. Session（服务端会话跟踪技术）
- 数据存储在储在服务端
3. 令牌技术

这里举例最常用令牌技术

三.令牌技术

1.令牌技术

客户端登录成功后，服务器生成JWT令牌分发给客户端，客户端每次请求携带该令牌，每次服务器统一校验

2.Jwt令牌组成

本质就是一个字符串。

3个部分

- 标头（Header）
- 有效载荷（Payload）
- 签名（Signature）
- 因此，JWT通常如下所示: xxxx.yyyyy.zzzzz Header.Payload.Signature

第一部分：Header(头），记录令牌类型、签名算法等。例如：{"alg":"HS256","type":"JWT"}

第二部分：Payload(有效载荷），携带一些自定义信息、默认信息等。例如：{"id":"1","username":"Tom"}

第三部分：Signature(签名），防止Token被篡改、确保安全性。将header、payload，并加入指定秘钥，通过指定签名算法计算而来。

3.JWT生成和校验

首先我们先来实现JWT令牌的生成。要想使用JWT令牌，需要先引入JWT的依赖：

<!-- JWT依赖-->
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt</artifactId>
    <version>0.9.1</version>
</dependency>

在引入完JWT来赖后，就可以调用工具包中提供的API来完成JWT令牌的生成和校验
工具类：Jwts

生成JWT

//生成JWT令牌
    public static String generateJwt(Map<String, Object> claims){
        String jwt = Jwts.builder()
                .addClaims(claims)
                .signWith(SignatureAlgorithm.HS256, signKey)//签名算法
                .setExpiration(new Date(System.currentTimeMillis() + expire))//设置有效期
                .compact();
        return jwt;
    }

解析JWT

//    解析JWT令牌
    public static Claims parseJWT(String jwt){
        Claims claims = Jwts.parser()
                .setSigningKey(signKey)
                .parseClaimsJws(jwt)//解析jwt内容
                .getBody();//自定义内容
        return claims;
    }

完整工具类

package it.com.springbootmybatisprimary.utils;
import io.jsonwebtoken.Claims;
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;
import java.util.Date;
import java.util.Map;

public class JwtUtils {

    private static String signKey = "itheima";
    private static Long expire = 43200000L;

    //生成JWT令牌
    public static String generateJwt(Map<String, Object> claims){
        String jwt = Jwts.builder()
                .addClaims(claims)
                .signWith(SignatureAlgorithm.HS256, signKey)//签名算法
                .setExpiration(new Date(System.currentTimeMillis() + expire))//设置有效期
                .compact();
        return jwt;
    }

//    解析JWT令牌
    public static Claims parseJWT(String jwt){
        Claims claims = Jwts.parser()
                .setSigningKey(signKey)
                .parseClaimsJws(jwt)//解析jwt内容
                .getBody();//自定义内容
        return claims;
    }
}

四.JWT与登录功能整合

在LoginController 检测到登录操作，如果返回Emp对象，表示用户名密码存在，登录成功，下发令牌，否则登录失败返回error

@Slf4j
@RestController
public class LoginController {
    @Autowired
    private empService empservice;

    @PostMapping("/login")
    public Result login(@RequestBody Emp emp){
        log.info("获取参数{}",emp);
       Emp e= empservice.login(emp);
       if(e!=null){
           //生成并下发令牌
           Map<String,Object> map=new HashMap<>();
           map.put("用户名",e.getName());
           map.put("用户id",e.getId());
          String jwt= JwtUtils.generateJwt(map);
          return Result.success(jwt);
       }
return Result.error("用户名或密码错误");
    }
}

postman测试

登录成功返回jwt令牌登录失败返回错误信息