JWT简介
token进行用户身份验证流程：
①客户端使用用户名+密码请求登录
②服务端收到请求验证用户名和密码
③验证成功后，服务端发送一个token给客户端
④客户端将token保存起来
⑤后续请求资源需要携带这个token
⑥服务端进行token验证，验证成功则执行请求
token相比于session优点：
①节约服务器资源，对移动端友好
②支持跨域访问（跨域名访问）：cookie无法跨域，而token放到请求头中可不使用cookie，故跨域后不存在信息丢失问题（即发送token不是针对某个域名单独进行，任何域名使用的token可以相同，而cookie对不同域名不同处理）
③无状态：用token后，服务端不需要存储session信息，因为token包含了所有登录用户的信息，可减轻服务端压力
④更适合CDN
⑤更适用于移动端
⑥无需考虑CSRF（cookie中跨站请求伪造，即盗取cookie信息进行冒名登陆）
JWT：JSON Web Token，token的一种具体实现方式
本身就是一个字符串，将用户信息保存到JSON字符串并编码后得到（有签名信息）
JWT结构
由三部分组成：①标头（Header）②有效载荷（Payload）③签名（Signature）
传输时会将三部分分别进行Base64编码后，用‘.’进行拼接形成字符串
Header
JWT头是一个描述JWT元数据的JSON对象，alg表示签名用的算法，typ表示令牌的属性（统一JWT）
{
"alg": "HS256",
"typ": "JWT"
}
Payload
有效载荷是JWT主体内容部分，也是JSON对象，包含需要传递的数据，有如下七个字段：
①iss：发行人
②exp：到期时间
③sub：主题
④aud：用户
⑤nbf：在此之前不可用
⑥iat：发布时间
⑦jti：JWT ID，用于标识该JWT
上述是JWT预定义可以选用的字段，还可以额外自定义私有字段。
给字段赋值拼接为JSON后就作为JWT的Payload部分。
注：JWT默认情况下是未加密的，只用Base64算法，可以通过内容获取传递的信息，故类似密码等用户敏感信息不能通过JWT传递。
Signature
签名哈希部分是对上述两部分数据的签名，需要使用base64编码后的header和payload数据，通过指定算法生成哈希，确保数据不被篡改。
首先需要指定一个秘钥，该密码保存在服务器中，使用签名算法（默认HMAC SHA256）生成签名。
作用
header和payload可以直接用base64获得原文。
header用于获取哈希签名使用的算法，payload获取具体数据
signature作为上述的整合，作用是检验token是否被篡改，利用获得的算法和秘钥对前两部分加密，比对加密后数据和客户端发送的是否一致。
JWT java使用
首先引入依赖：
compile 'com.auth0:java-jwt:3.4.0'
JWT生成token：
public void testGenerateToken(){
// 指定token过期时间为10秒
Calendar calendar = Calendar.getInstance();
calendar.add(Calendar.SECOND, 10);
String token = JWT.create()
.withHeader(new HashMap<>()) // Header
.withClaim("userId", 21) // Payload
.withClaim("userName", "baobao")
.withExpiresAt(calendar.getTime()) // 过期时间
.sign(Algorithm.HMAC256("!34ADAS")); // 签名用的secret
System.out.println(token);
}
头部是hashmap键值对，payload部分可以手动设置，签名部分需要由用户传入秘钥。
解析JWT字符串：
public static String checkUserToken(String token) {
if (token != null && token.length() > 1) {
try {
DecodedJWT decodeJwt = JWT.require(Algorithm.HMAC256("123")).build().verify(token);
if (decodeJwt != null) {
Date expriteat = decodeJwt.getExpiresAt();
if (expriteat.getTime() < new Date().getTime()) {
return "null";
}
return decodeJwt.getClaim("id").asString();
}
} catch (Exception e) {
e.printStackTrace();
return "";
}
}
return null;
}
解析token字符串后，可以通过其自身预定义的字段decodeJwt.getExpiresAt()获取数据，也可以通过decodeJwt.getClaim("id")获取自定义字段。
JWT安卓使用
但上述操作在安卓可以生成JWT字符串，但解析时由于Base64冲突，无法进行。
故在安卓解析部分需要使用另一个库：
implementation 'com.auth0.android:jwtdecode:1.1.1'
客户端只需要用base64解析header和payload部分获取数据即可
public boolean checkUserToken(String token) {
if (token != null && token.length() > 1) {
JWT jwt = new JWT(token);
Date expiresAt = jwt.getExpiresAt();
Claim abc = jwt.getClaim("abc");
System.out.println(abc.asInt());
if (expiresAt.getTime() < System.currentTimeMillis()) {
return false;
}
return true;
}
return false;
}
解析token字符串后，可以通过其自身预定义的字段jwt.getExpiresAt()获取数据，也可以通过jwt.getClaim("abc")获取自定义字段。
注：JAVA使用方法会将JWT检测篡改，故传入的参数还需要秘钥、算法进行签名的解码，结合其解析，说明该解法通常用于服务器，客户端不应该知道密码，并且也不需要认识篡改。
安卓用法就比较纯粹，单纯取出header和payload部分进行base64解码获取数据。
