基于token进行登录，每次请求携带token

一，什么是token？

Token，也称为“令牌”，是服务端生成的一串字符串，以作客户端进行请求的一个令牌，当第一次登录后，服务器生成一个Token便将此Token返回给客户端，以后客户端只需带上这个Token前来请求数据即可，无需再次带上用户名和密码。比如如下形式：eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJhdWQiOiJEenUyMDIwMDEwMTEwMzEiLCJleHAiOjE3MTQwNTM2MDV9.VBIWPBzGJRhwCB_jhI-wjZF8ErEFfpQkZOUmFxYQs5k

二、为什么使用Token

传统验证用户身份的方式，大多为基于服务器验证的方式，即cookie+session的方式，由于HTTP协议是无状态的，导致程序需要验证每一次请求，从而辨别客户端的身份。

用户登录成功将其信息存入session中，用户每次请求都会将携带session id的cookie一起发送器服务端，进行校验，随着Web、应用程序、以及移动端的崛起，这种验证方式弊端逐渐显现，尤其是在可扩展性方面。

引发的问题比如用户增多导致内存开销较大、CORS(跨域资源共享)以及CSRF(跨站请求伪造)等。

引入Token验证机制后，请求会发送token而不再是发送cookie能有效够防止CSRF，即使在客户端使用cookie存储token，但cookie也只有存储功能，而不再具备验证功能，因此安全性得到了极大的提高。

而且只要token设计的足够复杂，除非用户泄露，否则几乎没有被破解的可能，加上token是有时效的，在有限的时间加上有限的算力，更是无懈可击，这也类似于加密资产比如比特币钱包对应的私钥，安全性极高。

另外Token可以有效减轻服务器的压力，减少频繁的查询数据库，使服务器更加健壮。

三、Token的使用

什么是jwt？

JWT（JSON WEB TOKEN）：JSON网络令牌，JWT是一个轻便的安全跨平台传输格式，定义了一个紧凑的自包含的方式在不同实体之间安全传输信息（JSON格式）。它是在Web环境下两个实体之间传输数据的一项标准。实际上传输的就是一个字符串。广义上讲JWT是一个标准的名称；狭义上JWT指的就是用来传递的那个token字符串。

前端axios请求拦截器

service.interceptors.request.use(config => {
    if (localStorage.getItem('token') !== null && localStorage.getItem('token') !== "" && localStorage.getItem('token') !== undefined) {
        config.headers['Authorization'] = 'Bearer ' + localStorage.getItem('token'); // 假设你存储token在localStorage中
        config.headers['Content-Type'] = 'application/json;charset=UTF-8'
        config.headers['Accept'] = 'application/json'
        config.headers['Access-Control-Allow-Origin'] = '*'
    } else {
        //跳转登录
        router.push({path: '/login'})
    }
    return config
}, error => {
    return Promise.reject(error)
})

spring boot使用jwt

 <dependency>
    <groupId>com.auth0</groupId>
    <artifactId>java-jwt</artifactId>
    <version>4.3.0</version>
</dependency>

utils

package com.dzu.utils;

import cn.hutool.core.date.DateUtil;
import com.auth0.jwt.JWT;
import com.auth0.jwt.JWTVerifier;
import com.auth0.jwt.algorithms.Algorithm;
import com.auth0.jwt.interfaces.DecodedJWT;
import com.dzu.domain.User;

import java.util.Date;
import java.util.List;

public class JwtTokenUtils {

    private static final String SECRET = "dzuojsystem"; // 你的密钥，应该保密
 

    public static String createToken(User user) {
        //将用户名放进去作为载荷进行加密
        return JWT.create().withAudience(user.getUsername())
                //传入当前时间对象，并指定两小时后token过期
                //也可以指定时分秒天，比如offsetMinute就表示指定有效期为30分钟
                .withExpiresAt(DateUtil.offsetMinute(new Date(), 30))
                //使用密钥作为token的密钥
                .sign(Algorithm.HMAC256(SECRET));
    }

    public String parseTokenUsername(String token) {
        try {
            //验证token
            return JWT.decode(token).getAudience().get(0);
        } catch (Exception e) {
            //有异常就是验证不通过了
            throw new RuntimeException("token验证失败");
        }
    }

    //判断token是否有效且合法

    public boolean validateToken(String token) {
        // 创建token验证器
        Algorithm algorithm = Algorithm.HMAC256(SECRET);
        JWTVerifier verifier = JWT.require(algorithm)
                .withIssuer("dzuojsystem")
                .build();

        // 验证token
        try {
            DecodedJWT jwt = verifier.verify(token);
            return true;
        } catch (Exception e) {
            return false;
        }
    }
}

配置拦截器 （可以自定义异常抛出）

//省略导包,自行导入

//这是拦截器的具体的方法
@Controller
@CrossOrigin
public class ProjectInterceptor implements HandlerInterceptor {
    private static final String SECRET = "dzuojsystem"; // 你的密钥，应该保密
    @Resource
    private UserMapper userMapper;

    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {

        //首先要确定访问的是一个方法
        if (!(handler instanceof HandlerMethod)) {
            //这里表示当访问的是一个html页面的时候就直接结束，当访问的是一个方法的时候才会继续向下运行
            //比如拦截"/**"请求，然后访问/aa.html此时就会直接结束，但是访问的是/aa这个方法的话，就会打印"开始拦截"
            return true;
        }

        //然后判断请求中是否有token
        //从请求头中获取token
        String token = request.getHeader("Authorization").substring(7);
        System.out.println("authorization----token:"+token);
        //主要用来判断字符串类型的变量是否为空
        if (StrUtil.isBlank(token) || token == null) {
            throw new Exception("无token，请重新登陆");
        }

        //然后解析token中的载荷，但这一步无法判断token是否过期
        String Username;
        try {
            //解析token中的主体中的数据，结果为[username]，就是之前加密的数据
            List<String> ff = JWT.decode(token).getAudience();
            //解析token从中获取载荷中的第一个数据，如果这串代码运行异常则说明该token字符串有问题
            Username = ff.get(0);
        } catch (Exception e) {
            //此时说明token字符串已经被串改，导致解析失败
            throw new Exception("token验证失败,请重新登陆");
        }
        //通过用户名查询信息
        User user = userMapper.selectOne(new QueryWrapper<User>().eq("username", Username));
        if (user == null) {
            throw new Exception("用户不存在，该token不合法");
        }
        //验证token
        //通过添加密钥来创建验证对象，从而验证token是否过期，因为即使过期了，上面也能解析到数据
        JWTVerifier jwtVerifier = JWT.require(Algorithm.HMAC256(SECRET)).build();
        try {
            jwtVerifier.verify(token);
        } catch (JWTVerificationException e) {
            throw new Exception("token验证失败,请重新登陆");
        }
        return true;
    }

    public void postHandle(HttpServletRequest request, HttpServletResponse response, Object handler, ModelAndView modelAndView) throws Exception {

    }

    public void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler, Exception ex) throws Exception {

    }
}

@Controller
public class SpringMvcSupport implements WebMvcConfigurer {
    @Resource
    private ProjectInterceptor projectInterceptor;

    public void addInterceptors(InterceptorRegistry registry) {
        //这里是注册拦截器
        registry.addInterceptor(projectInterceptor)
                .addPathPatterns("/**")
                //放行接口，自己决定放行那些接口
                .excludePathPatterns("/user/register")
                .excludePathPatterns("/user/login")
                .excludePathPatterns("/email/sendMail")
                .excludePathPatterns("/jwt/validateToken");
    }
}

记得前端登录的时候，要把生成的token存起来，例如localstorage里面。

大致的流程

后端生成token--->前端保存token------>通过前端的拦截器给请求头添加token----->后端通过拦截器验证token。

大致就是这样，可能会有错误，请包涵！