首页手记 JWT 用户校验项目实战：从零开始的全面指南

JWT 用户校验项目实战：从零开始的全面指南

标签：

安全运维 API

概述

本文详细介绍了JWT用户校验项目的实战过程，包括JWT的基本概念、环境搭建、JWT生成及验证方法、用户认证与授权等关键步骤。通过具体示例代码，读者可以轻松掌握JWT在项目中的集成与应用。文章还提供了测试与调试的指导，确保每个流程的正确性与安全性。JWT用户校验项目内容丰富，适合希望深入学习JWT技术的开发者。

JWT 简介

什么是 JWT

JSON Web Token (JWT) 是一种开放标准 (RFC 7519)，用于在网络中安全地传输信息。JWT 主要用于用户身份验证和信息交换。它由三部分组成：头部（Header）、载荷（Payload）和签名（Signature）。JWT 的核心优势在于它是一种无状态协议，服务器不需要存储 JWT 信息，这样可以减少服务器的负载，提高系统的可扩展性。

JWT 的基本概念

JWT 由三部分组成：

头部（Header）：
- 包含 JWT 的类型（例如：JWT）以及所使用的算法（例如：HMAC SHA256 或 RSA）。
- 例如：
```
{
"alg": "HS256",
"typ": "JWT"
}
```
载荷（Payload）：
- 包含声明（claims），声明是关于实体（通常是用户）或其他任何信息的声明。标准声明如 sub（主体），iat（签发时间），非标准自定义声明等。
- 例如：
```
{
"sub": "1234567890",
"name": "John Doe",
"iat": 1516239022
}
```
签名（Signature）：
- 通过使用头部和载荷的哈希值，以及一个密钥（隐私密钥）生成签名。该签名使得接收方能够验证消息发送者是否合法，且消息未被篡改。
- 例如：
```
HMACSHA256(
base64UrlEncode(header) + "." +
base64UrlEncode(payload),
secret)
```

JWT 的优势和应用场景

JWT 的主要优势包括：

无状态：服务端无需存储 JWT，降低了服务器的负担，提高了系统的可扩展性。
安全性：提供加密签名，确保信息未被篡改。
跨域支持：JWT 本身就是一个 URL 安全的令牌，可以在跨域环境下使用。

JWT 的应用场景包括：

用户认证：用户登录后，可以为用户生成一个 JWT 令牌，后续请求携带该令牌即可。
信息交换：在前后端之间安全传递用户信息。
权限控制：携带 JWT 令牌的请求可以用来验证用户权限。

环境搭建

选择开发环境

选择合适的开发环境是项目成功的第一步。对于开发 JWT 用户校验项目，我们可以选择以下环境：

操作系统：Windows, macOS, Linux
IDE：Visual Studio Code, IntelliJ IDEA, PyCharm
语言：Node.js, Python, Java, 或其他支持 JWT 的语言

安装必要的工具和库

在选择好开发环境后，需要安装必要的工具和库。

Node.js 部分

Node.js：下载并安装 Node.js。
Express.js：Node.js 的 Web 框架。
jsonwebtoken：用于生成和验证 JWT。
body-parser：解析 HTTP 请求体中的数据。

安装命令如下：

npm install express jsonwebtoken body-parser

Python 部分

Python：下载并安装 Python。
Flask：Python 的 Web 框架。
PyJWT：用于生成和验证 JWT。

安装命令如下：

pip install flask pyjwt

Java 部分

Java JDK：下载并安装 Java 开发工具包。
Spring Boot：Java 的 Web 框架。
Spring Security：内置 JWT 支持。

创建一个简单的项目结构

项目结构应清晰、有序，便于管理和维护。以下是示例项目结构：

my_jwt_project/
│
├── src/
│   ├── controllers/
│   │   └── authController.js
│   └── middleware/
│       └── authMiddleware.js
│
├── app.js
└── package.json

controllers：存放控制器文件，处理业务逻辑。
middleware：存放中间件文件，处理路由中间件逻辑。
app.js：主应用文件，定义路由等。
package.json：项目配置文件，依赖管理等。

实现 JWT 用户校验

JWT 的生成过程

JWT 的生成过程主要包括以下步骤：

创建头部：包含类型和算法。
创建载荷：包含用户信息等声明。
生成签名：通过头部和载荷的哈希值，加上密钥生成签名。

示例代码

以下是生成 JWT 的 Node.js 示例代码：

const jwt = require('jsonwebtoken');

const secret = 'my_secret_key';

const token = jwt.sign({
    user: 'John Doe',
    id: '123456',
    exp: Math.floor(Date.now() / 1000) + (60 * 60) // 1小时过期
}, secret, {
    algorithm: 'HS256'
});

console.log(token);

以下是生成 JWT 的 Python 示例代码：

import jwt
import datetime

payload = {
    'user': 'John Doe',
    'id': '123456',
    'exp': datetime.datetime.utcnow() + datetime.timedelta(hours=1)
}
secret = 'my_secret_key'
token = jwt.encode(payload, secret, algorithm='HS256')
print(token)

以下是生成 JWT 的 Java 示例代码：

import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;

String token = Jwts.builder()
        .setSubject("John Doe")
        .claim("id", "123456")
        .setExpiration(new Date(System.currentTimeMillis() + 1000 * 60 * 60)) // 1小时过期
        .signWith(SignatureAlgorithm.HS256, "my_secret_key")
        .compact();
System.out.println(token);

在项目中集成 JWT

在项目中集成 JWT，主要步骤如下：

安装依赖库：确保安装了必要的 JWT 库。
定义 JWT 中间件：处理 JWT 的解析和验证。
编写控制逻辑：处理用户登录、获取 JWT 等。

定义 JWT 中间件

以下是一个简单的 JWT 解析和验证中间件示例：

const jwt = require('jsonwebtoken');

const secret = 'my_secret_key';

function authenticateToken(req, res, next) {
    const authHeader = req.headers['authorization'];
    const token = authHeader && authHeader.split(' ')[1];

    if (token == null) return res.sendStatus(401);

    jwt.verify(token, secret, (err, user) => {
        if (err) return res.sendStatus(403);
        req.user = user;
        next();
    });
}

实现用户登录及获取 JWT

用户登录后，服务器应生成 JWT 并返回给客户端。客户端在后续请求中携带这个 JWT，以证明其身份。

示例代码

以下是用户登录并获取 JWT 的 Node.js 示例代码：

const express = require('express');
const jwt = require('jsonwebtoken');
const bodyParser = require('body-parser');

const app = express();
const secret = 'my_secret_key';

app.use(bodyParser.json());

app.post('/login', (req, res) => {
    const { username, password } = req.body;

    // 简化逻辑，实际应用中需要验证用户名和密码
    if (username === 'john' && password === 'password') {
        const token = jwt.sign({ username: username }, secret, { expiresIn: '1h' });
        res.json({ token });
    } else {
        res.status(400).send('Invalid username or password');
    }
});

app.listen(3000, () => console.log('JWT server running on port 3000'));

以下是用户登录并获取 JWT 的 Python 示例代码：

from flask import Flask, request, jsonify
import jwt

app = Flask(__name__)
secret = 'my_secret_key'

@app.route('/login', methods=['POST'])
def login():
    data = request.get_json()
    username = data.get('username')
    password = data.get('password')

    if username == 'john' and password == 'password':
        token = jwt.encode({'username': username}, secret, algorithm='HS256')
        return jsonify({'token': token})
    else:
        return jsonify({'error': 'Invalid username or password'}), 401

if __name__ == '__main__':
    app.run(port=5000)

以下是用户登录并获取 JWT 的 Java 示例代码：

import io.jsonwebtoken.Claims;
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;
import org.springframework.web.bind.annotation.*;

@RestController
public class AuthController {

    @PostMapping("/login")
    public String login(@RequestBody LoginRequest request) {
        if ("john".equals(request.getUsername()) && "password".equals(request.getPassword())) {
            String token = Jwts.builder()
                    .setSubject(request.getUsername())
                    .setExpiration(new Date(System.currentTimeMillis() + 1000 * 60 * 60)) // 1小时过期
                    .signWith(SignatureAlgorithm.HS256, "my_secret_key")
                    .compact();
            return token;
        } else {
            return "Invalid username or password";
        }
    }

    public static class LoginRequest {
        private String username;
        private String password;

        // Getters and setters
    }
}

用户认证与授权

使用 JWT 验证用户身份

使用 JWT 验证用户身份，主要通过解析请求头中的 JWT 并验证其有效性。

示例代码

以下是解析和验证 JWT 的 Node.js 示例代码：

const authenticateToken = (req, res, next) => {
    const authHeader = req.headers['authorization'];
    const token = authHeader && authHeader.split(' ')[1];

    if (token == null) return res.sendStatus(401);

    jwt.verify(token, 'my_secret_key', (err, user) => {
        if (err) return res.sendStatus(403);
        req.user = user;
        next();
    });
};

以下是解析和验证 JWT 的 Python 示例代码：

from flask import request, jsonify
import jwt

@app.route('/protected', methods=['GET'])
def protected():
    token = request.headers.get('Authorization').split(' ')[1]
    try:
        payload = jwt.decode(token, 'my_secret_key', algorithms=['HS256'])
        return jsonify(payload)
    except jwt.ExpiredSignatureError:
        return jsonify({"error": "Token expired"}), 403
    except jwt.InvalidTokenError:
        return jsonify({"error": "Invalid token"}), 401

以下是解析和验证 JWT 的 Java 示例代码：

import io.jsonwebtoken.Claims;
import io.jsonwebtoken.Jwts;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RestController;

@RestController
public class AuthController {

    @GetMapping("/protected")
    public Claims protectedEndpoint() {
        String token = request.getHeader("Authorization").split(" ")[1];
        try {
            Claims claims = Jwts.parser().setSigningKey("my_secret_key").parseClaimsJws(token).getBody();
            return claims;
        } catch (Exception e) {
            return null;
        }
    }
}

实现基于 JWT 的权限控制

权限控制可以基于 JWT 中的声明进行。例如，可以增加一个 role 声明来区分不同权限的用户。

示例代码

以下是基于角色的权限控制示例：

const checkAdminRole = (req, res, next) => {
    if (req.user.role !== 'admin') {
        return res.status(403).send('Forbidden');
    }
    next();
};

以下是基于角色的权限控制示例：

from flask import request, jsonify
import jwt

@app.route('/protected', methods=['GET'])
def protected():
    token = request.headers.get('Authorization').split(' ')[1]
    try:
        payload = jwt.decode(token, 'my_secret_key', algorithms=['HS256'])
        role = payload.get('role')
        if role == 'admin':
            return jsonify({"message": "Access granted"})
        else:
            return jsonify({"message": "Access denied"}), 403
    except jwt.ExpiredSignatureError:
        return jsonify({"error": "Token expired"}), 403
    except jwt.InvalidTokenError:
        return jsonify({"error": "Invalid token"}), 401

以下是基于角色的权限控制示例：

import io.jsonwebtoken.Claims;
import io.jsonwebtoken.Jwts;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RestController;

@RestController
public class AuthController {

    @GetMapping("/protected")
    public String protectedEndpoint() {
        String token = request.getHeader("Authorization").split(" ")[1];
        try {
            Claims claims = Jwts.parser().setSigningKey("my_secret_key").parseClaimsJws(token).getBody();
            String role = claims.get("role").toString();
            if ("admin".equals(role)) {
                return "Access granted";
            } else {
                return "Access denied";
            }
        } catch (Exception e) {
            return "Invalid token";
        }
    }
}

示例代码解析

生成 JWT：使用 jwt.sign 方法生成 JWT。
解析和验证 JWT：使用 jwt.verify 方法解析和验证 JWT。
权限控制：通过检查用户声明中的角色，决定是否允许访问特定资源。

测试与调试

测试 JWT 用户校验的各个流程

测试 JWT 用户校验流程，确保用户登录、获取 JWT、验证 JWT 和权限控制等流程正常运行。

示例代码

以下是简单的测试代码：

const request = require('supertest');
const app = require('./app'); // 你的 Express 应用程序文件

describe('JWT Authentication', () => {
    let token;

    beforeAll((done) => {
        request(app)
            .post('/login')
            .send({ username: 'john', password: 'password' })
            .expect(200)
            .then((res) => {
                token = res.body.token;
                done();
            });
    });

    it('should return 401 with no token', (done) => {
        request(app)
            .get('/protected')
            .expect(401, done);
    });

    it('should return 200 with valid token', (done) => {
        request(app)
            .get('/protected')
            .set('Authorization', `Bearer ${token}`)
            .expect(200, done);
    });

    it('should return 403 with expired token', (done) => {
        // 假设 token 已过期
        request(app)
            .get('/protected')
            .set('Authorization', `Bearer ${token}`)
            .expect(403, done);
    });
});

以下是简单的测试代码：

import unittest
import requests

class TestJWTAuthentication(unittest.TestCase):
    token = None

    @classmethod
    def setUpClass(cls):
        response = requests.post("http://localhost:5000/login", json={"username": "john", "password": "password"})
        cls.token = response.json()['token']

    def test_no_token(self):
        response = requests.get("http://localhost:5000/protected")
        self.assertEqual(response.status_code, 401)

    def test_valid_token(self):
        response = requests.get("http://localhost:5000/protected", headers={"Authorization": f"Bearer {self.token}"})
        self.assertEqual(response.status_code, 200)

    def test_expired_token(self):
        expired_token = jwt.encode({"exp": datetime.datetime.utcnow() - datetime.timedelta(hours=1)}, "my_secret_key", algorithm='HS256')
        response = requests.get("http://localhost:5000/protected", headers={"Authorization": f"Bearer {expired_token}"})
        self.assertEqual(response.status_code, 403)

if __name__ == '__main__':
    unittest.main()

以下是简单的测试代码：

import io.restassured.RestAssured;
import io.restassured.response.Response;

public class TestJWTAuthentication {
    static String token;

    static {
        Response response = RestAssured.get("http://localhost:8080/login", "john", "password");
        token = response.getBody().asString();
    }

    public static void main(String[] args) {
        // 测试无token
        Response response = RestAssured.get("http://localhost:8080/protected")
                .then()
                .statusCode(401);

        // 测试有效token
        response = RestAssured.get("http://localhost:8080/protected")
                .header("Authorization", "Bearer " + token)
                .then()
                .statusCode(200);

        // 测试过期token
        String expiredToken = Jwts.builder()
                .setExpiration(new Date(System.currentTimeMillis() - 1000 * 60 * 60))
                .signWith(SignatureAlgorithm.HS256, "my_secret_key")
                .compact();
        response = RestAssured.get("http://localhost:8080/protected")
                .header("Authorization", "Bearer " + expiredToken)
                .then()
                .statusCode(403);
    }
}

常见错误及调试方法

401 错误：可能是没有提供 JWT，或者 JWT 格式不正确。
403 错误：可能是 JWT 无效，或者权限不足。
500 错误：可能是服务器内部错误，检查日志和代码逻辑。

性能优化建议

使用缓存：对于频繁访问的 JWT，可以考虑使用缓存来减少解析次数。
减少载荷大小：尽量减少 JWT 中的载荷大小，以提高传输效率。
优化密钥管理：确保密钥安全存储和管理。

总结与后续步骤

项目总结与反思

通过本指南，我们了解到 JWT 是一种强大的工具，用于安全地传输信息。通过实现用户登录、获取 JWT、验证 JWT 和权限控制等功能，可以构建一个完整的用户认证和权限管理框架。

未来改进方向

增强安全性：定期更换密钥，增加密钥多层保护。
扩展功能：增加更多的权限控制逻辑，支持更复杂的权限模型。
性能优化：进一步优化 JWT 的生成和验证性能。

学习资源推荐

慕课网：提供了丰富的在线课程，涵盖从基础到高级的各种技术。
官方文档：阅读 JWT 的官方文档，深入了解其工作原理和最佳实践。
GitHub：查找开源项目，学习实际应用中的实现和优化方法。

通过持续学习和实践，可以不断提升自己的技术能力，开发出更高质量的项目。

点击查看更多内容

为 TA 点赞

若觉得本文不错，就分享一下吧！

评论

评论

共同学习，写下你的评论

评论加载中...

展开查看更多评论

作者其他优质文章

正在加载中

牧羊人nacy

手记
篇

粉丝

5

获赞与收藏

26

关注作者，订阅最新文章

相关文章推荐

SpringSecurity代码实现JWT接口权限授予与校验

【备战春招】第15天 JWT 练习：生成 token

「免费开源」基于Vue和Quasar的crudapi前端SPA项目实战之用户登录（二）

Angular 安全 —— 使用 JSON 网络令牌（JWT）的身份认证：完全指南

手把手教大家在 gRPC 中使用 JWT 完成身份校验

阅读免费教程

Java 并发原理入门教程

26个小节 38736 565

HTTP 入门教程

28个小节 37601 645

Hibernate 入门教程

29个小节 6345 93

推荐

评论

收藏

共同学习，写下你的评论



感谢您的支持，我会继续努力的～

扫码打赏，你说多少就多少

赞赏金额会直接到老师账户

支付方式

打开微信扫一扫，即可进行扫码打赏哦

今天注册有机会得

100积分直接送

付费专栏免费学

大额优惠券免费领

立即参与放弃机会

点击
抽奖

慕课手记新用户专享福利

恭喜你，你的运气太好了，居然抽中了 100个积分！

恭喜你，抽中了价值元的专栏！

太棒了，直接落到你账户里！

积分商城里的罗技鼠标、机械键盘、
Kindle 阅读器、小米平衡车
Apple iPad （10.2英寸）、大额优惠券
在等着你去兑换了噢

作者：

免费赠送

兑换码：1111222211 复制

优惠券可用于购买实战课、体系课
无门槛使用

先去看看，有什么好东西马上兑换我爱学习，选课去


热搜

最近搜索清空

JWT 用户校验项目实战：从零开始的全面指南

什么是 JWT

JWT 的基本概念

JWT 的优势和应用场景

选择开发环境

安装必要的工具和库

Node.js 部分

Python 部分

Java 部分

创建一个简单的项目结构

JWT 的生成过程

示例代码

在项目中集成 JWT

定义 JWT 中间件

实现用户登录及获取 JWT

示例代码

使用 JWT 验证用户身份

示例代码

实现基于 JWT 的权限控制

示例代码

示例代码解析

测试 JWT 用户校验的各个流程

示例代码

常见错误及调试方法

性能优化建议

项目总结与反思

未来改进方向

学习资源推荐

相关文章推荐

阅读免费教程