【java苍穹外卖项目实战四】JWT令牌技术（完善登录功能）

在现代Web应用中，用户身份验证和授权是一个非常重要的功能。随着移动端和API服务的普及，传统的session管理方式逐渐显得不够灵活，JSON Web Token（JWT）作为一种轻量级、无状态的认证解决方案，逐渐受到开发者的青睐。在本文中，我们将通过一个简单的Java外卖项目实战，来演示如何使用JWT来完善登录功能。

JWT概述

JWT是一种开放标准（RFC 7519），它定义了一种紧凑且独立的方式，用于在各方之间安全地传输信息。这个信息可以被验证和信任，因为它是数字签名的。JWT通常由三部分组成：Header（头部）、Payload（载荷）和Signature（签名）。

1. Header：通常由令牌的类型和所使用的签名算法组成（如HMAC SHA256或RSA）。
2. Payload：实际存储的用户信息和其他元数据。
3. Signature：用来验证信息是否未被篡改的数字签名。

实现步骤

接下来，我们将实现一个简单的JWT登录功能。在这个示例中，我们将使用Spring Boot框架来构建我们的外卖项目。

1. 引入依赖

在你的pom.xml中，添加以下依赖：

<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt</artifactId>
    <version>0.9.1</version>
</dependency>
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

2. 配置JWT工具类

创建一个JWT工具类（JwtUtil）来生成和解析JWT。

import io.jsonwebtoken.Claims;
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;
import org.springframework.stereotype.Component;

import java.util.Date;
import java.util.HashMap;
import java.util.Map;

@Component
public class JwtUtil {

    private final String SECRET_KEY = "your_secret_key";
    private final long EXPIRATION_TIME = 1000 * 60 * 60; // 1小时

    // 生成JWT
    public String generateToken(String username) {
        Map<String, Object> claims = new HashMap<>();
        return createToken(claims, username);
    }

    private String createToken(Map<String, Object> claims, String subject) {
        return Jwts.builder()
                .setClaims(claims)
                .setSubject(subject)
                .setIssuedAt(new Date(System.currentTimeMillis()))
                .setExpiration(new Date(System.currentTimeMillis() + EXPIRATION_TIME))
                .signWith(SignatureAlgorithm.HS256, SECRET_KEY)
                .compact();
    }

    // 验证JWT
    public boolean validateToken(String token, String username) {
        String extractedUsername = extractUsername(token);
        return (extractedUsername.equals(username) && !isTokenExpired(token));
    }

    private String extractUsername(String token) {
        return extractAllClaims(token).getSubject();
    }

    private Claims extractAllClaims(String token) {
        return Jwts.parser().setSigningKey(SECRET_KEY).parseClaimsJws(token).getBody();
    }

    private boolean isTokenExpired(String token) {
        return extractAllClaims(token).getExpiration().before(new Date());
    }
}

3. 实现登录功能

创建一个Controller来处理用户的登录请求。

import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.web.bind.annotation.*;

@RestController
@RequestMapping("/api/auth")
public class AuthController {

    @Autowired
    private JwtUtil jwtUtil;

    @PostMapping("/login")
    public String login(@RequestParam String username, @RequestParam String password) {
        // 实际应用中，这里需要验证用户的用户名和密码
        if (username.equals("test") && password.equals("password")) {
            return jwtUtil.generateToken(username);
        } else {
            throw new RuntimeException("用户名或密码错误");
        }
    }
}

4. 使用JWT

在后续的接口中，我们可以通过解析用户提供的JWT来验证用户的身份。

import org.springframework.security.core.Authentication;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RequestHeader;
import org.springframework.web.bind.annotation.RestController;

@RestController
public class UserController {

    @Autowired
    private JwtUtil jwtUtil;

    @GetMapping("/api/user")
    public String getUserInfo(@RequestHeader("Authorization") String token) {
        String username = jwtUtil.extractUsername(token.substring(7)); // 去掉"Bearer "
        return "Hello, " + username;
    }
}

总结

通过上述步骤，我们实现了一个简单的基于JWT的登录功能。在实际项目中，你可以根据需求扩展JWT的功能，例如支持刷新令牌、更强的安全措施等。JWT的无状态特性使得它非常适合用于微服务架构，以及移动应用的身份验证。希望本文能为你在使用JWT进行身份验证时提供一些帮助和启发！