JJWT使用笔记(二)—— JWT token的解析

2018-06-08  本文已影响0人  vayci

前言

上文分析了JJWT实现JWT生成的方式,主要是对实现类 DefaultJwtBuilder() 中的方法进行了解读。
本文就再来看JWT解析的实现类 DefaultJwtParser()

解析Token

典型代码示例:

    private static Claims getClaimsFromToken(String token) {
        Claims claims;
        try {
            claims = Jwts.parser()
                    .setSigningKey(secret)
                    .parseClaimsJws(token)
                    .getBody();
        } catch (Exception e) {
            claims = null;
        }
        return claims;
    }

上述代码从JWT Token中获取了载荷。

与Builder类似,Jwts.parser() 返回了DefaultJwtParser 对象

DefaultJwtParser() 属性

    //don't need millis since JWT date fields are only second granularity:
    private static final String ISO_8601_FORMAT = "yyyy-MM-dd'T'HH:mm:ss'Z'";
    private static final int MILLISECONDS_PER_SECOND = 1000;

    private ObjectMapper objectMapper = new ObjectMapper();

    private byte[] keyBytes; //签名key字节数组
    private Key key; //签名key
    private SigningKeyResolver signingKeyResolver; //签名Key解析器
    private CompressionCodecResolver compressionCodecResolver = new DefaultCompressionCodecResolver(); //压缩解析器
    Claims expectedClaims = new DefaultClaims(); //期望Claims
    private Clock clock = DefaultClock.INSTANCE; //时间工具实例
    private long allowedClockSkewMillis = 0;  //允许的时间偏移量

很容易从命名获得各属性的含义

再看方法

同样,与builder中设置一些标准Claims的set方法对应,parser中包含一系列require方法进行claims校验。

当claims不匹配时,会抛出 IncorrectClaimException 异常。

上述两个解析器具体的使用应该会在解析的方法中有所体现。

接下来是重头戏方法:解析

解析过程:

  1. 切分。
    以分隔符" . "切分JWT的三个部分。如果分隔符数量错误或者载荷为空,将抛出 MalformedJwtException 异常。
  2. 头部解析。
    将头部原始Json键值存入map。根据是否加密创建不同的头部对象。jjwt的DefaultCompressionCodecResolver根据头部信息的压缩算法信息,添加不同的压缩解码器。

JJWT automatically detects that compression was used by examining the header and will automatically decompress when parsing. No extra coding is needed on your part for decompression.

  1. 载荷解析。
    先对载荷进行Base64解码,如果有经过压缩,那么在解码后再进行解压缩。此时将值赋予payload。如果载荷是json形式,将json键值读入map,将值赋予claims 。
        if (payload.charAt(0) == '{' && payload.charAt(payload.length() - 1) == '}') { //likely to be json, parse it:
            Map<String, Object> claimsMap = readValue(payload);
            claims = new DefaultClaims(claimsMap);
        }
  1. 签名解析。
    如果存在签名部分,则对签名进行解析。

(1)首先根据头部的签名算法信息,获取对应的算法。
如果签名部分不为空,但是签名算法为null或者'none',将抛出MalformedJwtException异常。

(2)获取签名key

重复异常

如果设置了key(setSigningKey() 方法)则直接使用生成Key对象。如果两种形式( key和keyBytes )都没有设置,则使用SigningKeyResolver(通过setSigningKeyResolver()方法设置)获取key。

当然,获取key为null会抛出异常。

(3)创建签名校验器
JJWT实现了一个默认的签名校验器DefaultJwtSignatureValidator。该类提供了两个构造方法,外部调用的构造方法传入算法和签名key,再加上一个DefaultSignatureValidatorFactory工厂实例传递调用另一个构造函数,以便工厂根据不同算法创建不同类型的Validator。

    public DefaultJwtSignatureValidator(SignatureAlgorithm alg, Key key) {
        this(DefaultSignatureValidatorFactory.INSTANCE, alg, key);
    }

    public DefaultJwtSignatureValidator(SignatureValidatorFactory factory, SignatureAlgorithm alg, Key key) {
        Assert.notNull(factory, "SignerFactory argument cannot be null.");
        this.signatureValidator = factory.createSignatureValidator(alg, key);
    }

这里和builder类似。

(4)比对验证
根据头部和载荷重新计算签名并比对。
如果不匹配,抛出SignatureException异常。

(5)时间校验
根据当前时间和时间偏移判断是否过期。
根据当前时间和时间偏移判断是够未到可接收时间。

(6)Claims参数校验
即校验parser前面设置的所以require部分。校验完成后,以header,claims或者payload创建DefaultJwt对象返回。

至此,已经完成JWT Token的校验过程。校验通过后返回JWT对象。

上一篇下一篇

猜你喜欢

热点阅读