JWT 是一種用于安全傳輸信息的開放標(biāo)準(zhǔn)，在 Java 中可通過 JJWT 庫實(shí)現(xiàn)認(rèn)證與授權(quán)，1. 添加 JJWT 的 API、Impl 和 Jackson 依賴；2. 創(chuàng)建 JwtUtil 工具類生成、解析和驗(yàn)證 Token；3. 編寫 JwtFilter 攔截請(qǐng)求并校驗(yàn) Authorization 頭中的 Bearer Token；4. 在 Spring Boot 中注冊(cè) Filter 保護(hù)指定路徑；5. 提供登錄接口在驗(yàn)證用戶后返回 JWT；6. 受保護(hù)接口通過解析 Token 獲取用戶身份和角色進(jìn)行訪問控制，最終實(shí)現(xiàn)無狀態(tài)、可擴(kuò)展的安全機(jī)制，適合分布式系統(tǒng)應(yīng)用，且需注意密鑰安全、Token 過期與 HTTPS 傳輸?shù)劝踩ㄗh。

在現(xiàn)代 Web 應(yīng)用開發(fā)中，使用 Java 實(shí)現(xiàn)用戶認(rèn)證（Authentication）和授權(quán)（Authorization）是一個(gè)常見需求。JWT（JSON Web Token）因其無狀態(tài)、可擴(kuò)展和跨域支持良好，成為實(shí)現(xiàn)安全認(rèn)證的主流方案之一。下面介紹如何在 Java 應(yīng)用中使用 JWT 完成認(rèn)證與授權(quán)。

什么是 JWT？

JWT 是一種開放標(biāo)準(zhǔn)（RFC 7519），用于在各方之間安全地傳輸信息作為 JSON 對(duì)象。它通常用于身份驗(yàn)證和信息交換。一個(gè) JWT 由三部分組成：

• Header：包含令牌類型和簽名算法（如 HMAC SHA256）
• Payload：包含聲明（claims），比如用戶 ID、角色、過期時(shí)間等
• Signature：對(duì)前兩部分的簽名，確保數(shù)據(jù)未被篡改

格式為：xxxxx.yyyyy.zzzzz

基本流程

1. 用戶登錄，提交用戶名和密碼
2. 服務(wù)端驗(yàn)證憑據(jù)，生成 JWT 返回給客戶端
3. 客戶端在后續(xù)請(qǐng)求中攜帶 JWT（通常在 Authorization 頭中）
4. 服務(wù)端驗(yàn)證 JWT 的有效性，并根據(jù)其中的聲明決定是否授權(quán)訪問資源

使用 Java JWT 實(shí)現(xiàn)認(rèn)證與授權(quán)

1. 添加依賴（以 Maven 為例）

使用 JJWT 庫來處理 JWT：

<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-api</artifactId>
    <version>0.11.5</version>
</dependency>
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-impl</artifactId>
    <version>0.11.5</version>
    <scope>runtime</scope>
</dependency>
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-jackson</artifactId>
    <version>0.11.5</version>
    <scope>runtime</scope>
</dependency>

注意：JJWT 0.11 支持模塊化，需要同時(shí)引入 API、Impl 和 Jackson 支持。

2. 創(chuàng)建 JWT 工具類

import io.jsonwebtoken.*;
import io.jsonwebtoken.security.Keys;

import javax.crypto.SecretKey;
import java.util.Date;

public class JwtUtil {
    private static final SecretKey SECRET_KEY = Keys.secretKeyFor(SignatureAlgorithm.HS256);
    private static final long EXPIRATION_TIME = 86400000; // 24 hours

    // 生成 JWT
    public static String generateToken(String username, String role) {
        return Jwts.builder()
                .setSubject(username)
                .claim("role", role)
                .setIssuedAt(new Date())
                .setExpiration(new Date(System.currentTimeMillis()   EXPIRATION_TIME))
                .signWith(SECRET_KEY)
                .compact();
    }

    // 解析并驗(yàn)證 JWT
    public static Claims parseToken(String token) {
        try {
            return Jwts.parserBuilder()
                    .setSigningKey(SECRET_KEY)
                    .build()
                    .parseClaimsJws(token)
                    .getBody();
        } catch (ExpiredJwtException e) {
            System.out.println("Token 已過期");
            return null;
        } catch (MalformedJwtException | SignatureException e) {
            System.out.println("無效的 Token");
            return null;
        }
    }

    // 獲取用戶名
    public static String getUsernameFromToken(String token) {
        Claims claims = parseToken(token);
        return claims != null ? claims.getSubject() : null;
    }

    // 獲取角色
    public static String getRoleFromToken(String token) {
        Claims claims = parseToken(token);
        return (String) claims.get("role");
    }

    // 驗(yàn)證 Token 是否有效
    public static boolean isTokenValid(String token, String username) {
        String tokenUsername = getUsernameFromToken(token);
        return (tokenUsername != null && tokenUsername.equals(username) && parseToken(token) != null);
    }
}

3. 攔截請(qǐng)求：實(shí)現(xiàn)過濾器（Filter）

創(chuàng)建一個(gè) JwtFilter 來攔截請(qǐng)求并驗(yàn)證 JWT。

import javax.servlet.*;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;

public class JwtFilter implements Filter {

    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
            throws IOException, ServletException {

        HttpServletRequest httpRequest = (HttpServletRequest) request;
        HttpServletResponse httpResponse = (HttpServletResponse) response;

        String token = httpRequest.getHeader("Authorization");

        if (token != null && token.startsWith("Bearer ")) {
            token = token.substring(7); // 去掉 "Bearer "
            String username = JwtUtil.getUsernameFromToken(token);

            if (username != null && JwtUtil.isTokenValid(token, username)) {
                // 可以將用戶信息存入 request 屬性或 Security Context
                httpRequest.setAttribute("currentUser", username);
                httpRequest.setAttribute("role", JwtUtil.getRoleFromToken(token));
                chain.doFilter(request, response);
            } else {
                httpResponse.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
                httpResponse.getWriter().write("無效或過期的 Token");
            }
        } else {
            httpResponse.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
            httpResponse.getWriter().write("缺少 Token");
        }
    }
}

4. 配置 Filter（以 Spring Boot 為例）

如果你使用的是 Spring Boot，可以在配置類中注冊(cè) Filter：

@Bean
public FilterRegistrationBean<JwtFilter> jwtFilter() {
    FilterRegistrationBean<JwtFilter> registrationBean = new FilterRegistrationBean<>();
    registrationBean.setFilter(new JwtFilter());
    registrationBean.addUrlPatterns("/api/secure/*"); // 保護(hù)的路徑
    return registrationBean;
}

5. 登錄接口示例

@PostMapping("/login")
public ResponseEntity<?> login(@RequestBody UserLoginRequest request) {
    // 簡(jiǎn)化：實(shí)際應(yīng)查數(shù)據(jù)庫   密碼加密校驗(yàn)
    if ("admin".equals(request.getUsername()) && "password".equals(request.getPassword())) {
        String token = JwtUtil.generateToken(request.getUsername(), "ADMIN");
        return ResponseEntity.ok().body(Map.of("token", token));
    }
    return ResponseEntity.status(401).body("用戶名或密碼錯(cuò)誤");
}

6. 受保護(hù)的接口示例

@GetMapping("/secure/data")
public ResponseEntity<?> getSecureData(HttpServletRequest request) {
    String user = (String) request.getAttribute("currentUser");
    String role = (String) request.getAttribute("role");

    if ("ADMIN".equals(role)) {
        return ResponseEntity.ok("Hello "   user   ", you have admin access!");
    } else {
        return ResponseEntity.status(403).body("權(quán)限不足");
    }
}

安全建議

• 密鑰管理：不要在代碼中硬編碼密鑰，應(yīng)使用環(huán)境變量或配置中心
• Token 過期時(shí)間：合理設(shè)置過期時(shí)間，敏感操作建議使用短時(shí)效 Token
• 刷新 Token：可配合 refresh token 機(jī)制提升用戶體驗(yàn)
• HTTPS：確保傳輸層安全，防止 Token 被竊取
• 避免敏感信息：不要在 JWT payload 中存放密碼等敏感數(shù)據(jù)

總結(jié)

使用 JWT 在 Java 中實(shí)現(xiàn)認(rèn)證和授權(quán)并不復(fù)雜，核心是：

• 登錄成功后生成 Token
• 客戶端攜帶 Token 請(qǐng)求
• 服務(wù)端通過 Filter 驗(yàn)證 Token 并提取用戶信息
• 根據(jù)角色實(shí)現(xiàn)授權(quán)控制

這套機(jī)制適合分布式、微服務(wù)架構(gòu)，避免了服務(wù)端存儲(chǔ) session 的開銷。

基本上就這些，不復(fù)雜但容易忽略細(xì)節(jié)，比如異常處理和密鑰安全。

以上是JWT的Java身份驗(yàn)證和授權(quán)的詳細(xì)內(nèi)容。更多信息請(qǐng)關(guān)注PHP中文網(wǎng)其他相關(guān)文章！