一：JWT是什么？

常用鉴权方式有很多种，今天主要介绍基于token的鉴权方式JWT（Json JSON Web Token）。因为这种方式实现起来方便快捷。整体实现逻辑如下

第一次登陆时，前端携带账号和密码请求登录接口。服务端在验证登录通过后，将用户信息加密为一个token字符串返给前端。前端将token存在localstorage中。

在一般的业务请求中，前端从localstorage中取出并携带token。服务端接收到token后解密验证其时效性及合法性，如果token通过则正常返回数据，不通过则返回异常。

二：前端注意点

按照惯例前端请求接口时，携带token发送。token建议放在header中，命名为Authorization。尽量避免将token与一般入参一块放在body中，这样更加规范。

var config = {
      headers: {
          'Authorization': Token // 将 Token 放入 Authorization Header 中
      }
    };

var PostData = Object.assign({}, Para['RequestData']);

axios.post(Para['Url'], PostData,config).then(function (response) {})

然后在封装的异步请求方法中，直接携带token。即可完成集中处理，一劳永逸

Vue.prototype.SQAjax = function (Para) {
    var that = this;
    let AjaxLoading = Loading.service({ 
      background: 'rgba(0,0,0,0.5)',
      lock: true,
      text: '加载中',
      spinner: 'el-icon-loading',
      fullscreen: true
     });

    var Token = localStorage.getItem('sqBlogToken') ? localStorage.getItem('sqBlogToken') : '';

    if (!Token) {
      AjaxLoading.close(); // 中断代码前，注意关闭loading
      this.$router.push({ name: 'LoginPage' });
      return false;
    }

    // 设置请求头
    var config = {
      headers: {
          'Authorization': Token // 将 Token 放入 Authorization Header 中
      }
    };

    var PostData = Object.assign({}, Para['RequestData']);

    axios.post(Para['Url'], PostData,config).then(function (response) {
      AjaxLoading.close();

      if (response.data.statusCode == 200) {
        Para['Success'](response.data.data);
      } else if (response.data.status == '1') { 
        that.$message({
          message: response.data.data.message,
          type: 'success'
        });
        that.$router.push({
          name: 'LoginPage',
        });
      } else { // 返参异常的场景处理
        that.$message({
          message: response.data.data.message,
          type: 'error',
          duration: 900
        });
      }
    }).catch(function (error) { // 接口不通的场景处理
      AjaxLoading.close();
      that.$message({
        message: "接口不通",
        type: 'error',
        duration: 900
      });
    });
  }

三：服务端工作 

1、处理token的公共类

Java中使用jjwt的原生方法，即可以轻松搞定加密解密。先注入依赖，然后创建一个JwtUtil.java，当作公共文件备用。

其中需要注意密钥的保存，如果代码开源可将密钥放在配置文件中，且保障该配置文件不开源。

// pom依赖注入
<dependency>
		<groupId>io.jsonwebtoken</groupId>
		<artifactId>jjwt</artifactId>
		<version>0.9.1</version>
</dependency>

public class JwtUtil {
    private static final String SECRET_KEY = "your_secret_key";

    // 生成 Token
    public static String generateToken(User user) {
        return Jwts.builder()
                .setSubject(user.getName())
                .claim("id", user.getId())
                .setIssuedAt(new Date())
                .setExpiration(new Date(System.currentTimeMillis() + 3600000)) // 1 hour expiration
                .signWith(SignatureAlgorithm.HS256, SECRET_KEY)
                .compact();
    }

    // 验证 Token
    public static Claims validateToken(String token) throws Exception {
        try {
            return Jwts.parser()
                    .setSigningKey(SECRET_KEY)
                    .parseClaimsJws(token)
                    .getBody();
        } catch (ExpiredJwtException e) {
            throw new Exception("Token 已过期", e);
        } catch (UnsupportedJwtException e) {
            throw new Exception("Token 格式不支持", e);
        } catch (MalformedJwtException e) {
            throw new Exception("Token 无效", e);
        } catch (SignatureException e) {
            throw new Exception("Token 签名无效", e);
        } catch (IllegalArgumentException e) {
            throw new Exception("Token 参数无效", e);
        }
    }
}

2、验证token

如果开发管理后台，除了登录/注册操作，其他接口基本都需要鉴权。此种场景每个controller都鉴权一次过于繁琐。可使用拦截器，做到统一处理。

如下为配置拦截器，可将登录注册等不需要token验证的接口加入白名单。

@Configuration
public class WebConfig implements WebMvcConfigurer {

    @Autowired
    private JwtInterceptor jwtInterceptor;

    @Override
    public void addInterceptors(InterceptorRegistry registry) {
        registry.addInterceptor(jwtInterceptor)
                .addPathPatterns("/**")  // 拦截所有请求
                .excludePathPatterns("/login", "/register");  // 排除登录和注册接口
    }
}

如下为拦截器具体代码

@Component
public class JwtInterceptor implements HandlerInterceptor {

    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        String token = request.getHeader("Authorization");

        if (token == null || token.isEmpty()) {
            response.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
            response.getWriter().write("Token is missing");
            return false;
        }

        try {
            JwtUtil.validateToken(token);
        } catch (Exception e) {
            response.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
            response.getWriter().write("Invalid token: " + e.getMessage());
            return false;
        }

        return true;
    }
}

3、生成token

关于需要生成token的接口，其实只有登录接口一个地方。其余接口都是验证token

可在校验登录成功后，将用户信息及token一并返回前端。

String token = jwtUtil.generateToken(userInfo);
UserAuthResponse userAuthResponse = new UserAuthResponse(token, userInfo);
return ApiResponse.success(userAuthResponse);