一、传统Session认证
1、认证过程：
1、用户向服务器发送用户名和密码。 2、服务器验证后在当前对话（session）保存相关数据。 3、服务器向返回sessionId，写入客户端 Cookie。 4、客户端每次请求，需要通过 Cookie，将 sessionId 回传服务器。 5、服务器收到 sessionId，验证客户端。
2、问题缺陷
1、session保存在服务端，客户端访问高并发时，服务端压力大。 2、扩展性差，服务器集群，就需要 session 数据共享。
二、JWT简介
JWT（全称：JSON Web Token），在基于HTTP通信过程中，进行身份认证，JWT它是目前最流行的跨域身份验证解决方案。
1、认证流程
JWT的工作原理：是在服务器身份验证之后，将生成一个JSON对象，这个 JSON 对象里存了一些用户的信息，比如id、role、name等（如：{"name": "**","role": "Admin","id":"**","Expire": "***"}），但是这个JSON对象肯定不能直接返回，所以需要加密一下，生成一个 token，就是一个加密字符串，然后将这个 token 发送回用户之后，当用户与服务器通信时，客户端在请求中需要将这个 token 一起发送回服务器，服务器再解析这个 token 生成之前的JSON对象，然后去认证了这个用户。
当然为了防止用户篡改数据，服务器将在生成对象时添加签名，并对发回的数据进行验证。
具体流程如下：
1、客户端通过用户名和密码登录服务器； 2、服务端对客户端身份进行验证； 3、服务器认证以后，生成一个 JSON 对象生成的 token，发回客户端； 4、客户端与服务端通信的时候，都要发回这个 token； 5、服务端解析该token，然后得到这个JSON对象，获取用户身份； 6、服务端可以不必存储该Token对象，身份信息都可以解析出来。
2、为什么要使用 JWT
（1）JWT基于json，非常方便解析。
（2）可以在令牌中自定义丰富的内容，易扩展。
（3）通过非对称加密算法及数字签名技术，JWT防止篡改，安全性高。
（4）资源服务使用JWT可不依赖认证服务即可完成授权。
3、JWT结构
token长这样
"token": "eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzUxMiJ9.
eyJzdWIiOiJhZG1pbiIsImlhdCI6iZEIj3fQ. uEJSJagJf1j7A55Wwr1bGsB5YQoAyz5rbFtF"
上面的Token被手动格式化了，实际上是用"."分隔的一个完整的长字符串，其结构如下：
1、头部（header) 声明类型以及加密算法； 2、负载（payload) 携带一些用户身份信息； 3、签名（signature) 签名信息。
（1）Header：
这个json中的typ属性，用来标识整个token字符串是一个JWT字符串；它的alg属性，用来说明这个JWT签发的时候所使用的签名和摘要算法。typ跟alg属性的全称其实是type跟algorithm，分别是类型跟算法的意思。
之所以都用三个字母来表示，也是基于JWT最终字串大小的考虑，同时也是跟JWT这个名称保持一致，这样就都是三个字符了。
typ跟alg是JWT中标准中规定的属性名称。
（2）Payload：
payload用来承载要传递的数据，它的json结构实际上是对JWT要传递的数据的一组声明，这些声明被JWT标准称为claims，它的一个“属性值对”其实就是一个claim(要求)，每一个claim的都代表特定的含义和作用。
（3）signature
签名是把header和payload对应的json结构进行base64url编码之后得到的两个串用英文句点号拼接起来，然后根据header里面alg指定的签名算法生成出来的。算法不同，签名结果不同。以alg: HS256为例来说明前面的签名是以HS256算法得到。
4、JWT使用方式
通常推荐的做法是客户端在 HTTP 请求的头信息Authorization字段里面：
Authorization: Bearer <token>
服务端获取JWT方式
String token = request.getHeader("token");
三、与SpringBoot整合
1、核心依赖文件
<!-- jjwt -->
<dependency>
<groupId>io.jsonwebtoken</groupId>
<artifactId>jjwt</artifactId>
<version>0.9.1</version>
</dependency>
2、配置文件
// 跟spring同级
config: jwt: # 加密密钥 secret: TestTokenSecret // 这个自己定义
# token有效时长 expire: 3600 # header 名称 header: token
3、JWT配置代码块
@ConfigurationProperties(prefix = "config.jwt") @Component public class JwtConfig { /* * 根据身份ID标识，生成Token */
public String getToken (String identityId){ Date nowDate = new Date(); //过期时间
Date expireDate = new Date(nowDate.getTime() + expire * 1000); return Jwts.builder() .setHeaderParam("typ", "JWT") .setSubject(identityId) .setIssuedAt(nowDate) .setExpiration(expireDate) .signWith(SignatureAlgorithm.HS512, secret) .compact(); } /* * 获取 Token 中注册信息 */
public Claims getTokenClaim (String token) { try { return Jwts.parser().setSigningKey(secret).parseClaimsJws(token).getBody(); }catch (Exception e){ e.printStackTrace(); return null; } } /* * Token 是否过期验证 */
public boolean isTokenExpired (Date expirationTime) { return expirationTime.before(new Date()); } private String secret; private long expire; private String header; // 省略 GET 和 SET
}
主要是看上面加粗的一个生成token，一个解析token的方法咯。
网上其实也有蛮多 JwtUtil 工具类，可以自己搜的参考。
四、拦截示例
其实一般都会搭配SpringSecurity使用，这里自定义一个拦截器示例看下
1、配置Token拦截器
@Component public class TokenInterceptor extends HandlerInterceptorAdapter { @Resource private JwtConfig jwtConfig ; @Override public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception { // 地址过滤
String uri = request.getRequestURI() ; if (uri.contains("/login")){ return true ; } // Token 验证
String token = request.getHeader(jwtConfig.getHeader()); if(StringUtils.isEmpty(token)){ token = request.getParameter(jwtConfig.getHeader()); } if(StringUtils.isEmpty(token)){ throw new Exception(jwtConfig.getHeader()+ "不能为空"); } Claims claims = jwtConfig.getTokenClaim(token); if(claims == null || jwtConfig.isTokenExpired(claims.getExpiration())){ throw new Exception(jwtConfig.getHeader() + "失效，请重新登录"); } //设置 identityId 用户身份ID
request.setAttribute("identityId", claims.getSubject()); return true; } }
2、拦截器注册
@Configuration public class WebConfig implements WebMvcConfigurer { @Resource private TokenInterceptor tokenInterceptor ; public void addInterceptors(InterceptorRegistry registry) { registry.addInterceptor(tokenInterceptor).addPathPatterns("/**"); } }
然后就可以写接口测试了。