JWT 详解：原理、与 Session 区别及 Spring Boot 实战

⚠️ 不要在 Payload 里放敏感信息（如密码、手机号）！ 因为它是明文（Base64 可解码）！

3. Signature（签名）— 安全的核心！

服务器用 密钥 + 算法 对 Header + Payload 进行签名：

HMACSHA256( base64UrlEncode(header) + "." + base64UrlEncode(payload), secretKey )

• 客户端无法伪造签名（不知道 secretKey）；
• 服务器收到 JWT 后，会重新计算签名，比对是否一致；
• 只要 Payload 被改，签名就失效！

四、JWT 认证流程（图解）

✅ 整个过程 服务器无需存储 session，真正'无状态'！

五、JWT vs Session（传统方案）

💡 JWT 适合：API 服务、微服务、移动端
💡 Session 适合：传统 Web 应用、需要强登出控制的系统

六、Spring Boot 实战：手写 JWT 登录

1. 添加依赖

<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-api</artifactId>
    <version>0.11.5</version>
</dependency>
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-impl</artifactId>
    <version>0.11.5</version>
    <scope>runtime</scope>
</dependency>
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-jackson</artifactId>
    <version>0.11.5</version>
    <scope>runtime</scope>
</dependency>

2. JWT 工具类

@Component
public class JwtUtil {
    private String secret = "MySecretKey123!@#"; // 生产环境应配置在 application.yml
    private long expiration = 86400000; // 24 小时

    public String generateToken(String userId) {
        return Jwts.builder()
            .setSubject(userId)
            .setIssuedAt(new Date())
            .setExpiration(new Date(System.currentTimeMillis() + expiration))
            .signWith(SignatureAlgorithm.HS256, secret)
            .compact();
    }

    public String getUserIdFromToken(String token) {
        return Jwts.parser()
            .setSigningKey(secret)
            .parseClaimsJws(token)
            .getBody()
            .getSubject();
    }

    public boolean validateToken(String token) {
        try {
            Jwts.parser().setSigningKey(secret).parseClaimsJws(token);
            return true;
        } catch (Exception e) {
            return false;
        }
    }
}

3. 登录接口

@RestController
public class AuthController {
    @Autowired
    private JwtUtil jwtUtil;

    @PostMapping("/login")
    public ResponseEntity<?> login(@RequestBody LoginRequest req) {
        // 模拟验证账号密码（实际应查数据库）
        if ("admin".equals(req.getUsername()) && "123456".equals(req.getPassword())) {
            String token = jwtUtil.generateToken("10001");
            return ResponseEntity.ok(Map.of("token", token));
        }
        return ResponseEntity.status(401).body("账号或密码错误");
    }
}

4. 拦截器：验证 JWT

public class JwtInterceptor implements HandlerInterceptor {
    @Autowired
    private JwtUtil jwtUtil;

    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) {
        String authHeader = request.getHeader("Authorization");
        if (authHeader != null && authHeader.startsWith("Bearer ")) {
            String token = authHeader.substring(7);
            if (jwtUtil.validateToken(token)) {
                // 可将用户 ID 存入 ThreadLocal 或 Request Attribute
                return true;
            }
        }
        response.setStatus(401);
        return false;
    }
}

注册拦截器：

@Configuration
public class WebConfig implements WebMvcConfigurer {
    @Override
    public void addInterceptors(InterceptorRegistry registry) {
        registry.addInterceptor(new JwtInterceptor())
            .addPathPatterns("/api/**")
            .excludePathPatterns("/login");
    }
}

七、JWT 的致命缺点 & 注意事项

❌ 1. 无法主动登出（除非用黑名单）

• JWT 一旦签发，在过期前一直有效；
• 即使用户点击'退出'，旧 token 仍可使用；
• 解决方案：
  • 设置较短过期时间（如 15 分钟）+ 刷新令牌（Refresh Token）；
  • 维护一个 Redis 黑名单，记录已登出的 token。

❌ 2. Payload 不是加密的！

• 所有人都能解码看到内容；
• 永远不要放密码、身份证号等敏感信息！

❌ 3. 密钥泄露 = 全盘崩溃

• 如果 secretKey 泄露，攻击者可伪造任意用户 token；
• 必须严格保管密钥！

✅ 最佳实践建议：

总结

• JWT = Header + Payload + Signature
• 自包含、无状态、适合分布式
• 不是加密，而是签名防篡改
• 无法主动登出是最大短板
• Spring Boot 集成简单，但要注意安全细节