前言

一个JWT由三部分组成：
Header（头部） —— base64编码的Json字符串
Payload（载荷） —— base64编码的Json字符串
Signature（签名）—— 使用指定算法，通过Header和Payload加盐计算的字符串

各部分以" . "分割，如：

eyJhbGciOiJIUzUxMiJ9.eyJjcnQiOjE1MjgzNDM4OTgyNjgsImV4cCI6MTUyODM0MzkxOCwidXNlcm5hbWUiOiJ0b20ifQ.E-0jxKxLICWgcFEwNwQ4pfhdMzchcHmsd8G_BTsWgkUmVwPzDd7jJlf94cAdtbwTLMm27ouYYzTTxMXq7W1jvQ

直接通过base64解码可获得

Header：

{"alg":"HS512"}

Payload：

{"crt":1528343898268,"exp":1528343918,"username":"tom"}

本文基于：

        <dependency>
            <groupId>io.jsonwebtoken</groupId>
            <artifactId>jjwt</artifactId>
            <version>0.9.0</version>
        </dependency>

生成token

public static String generateToken(Stringusername){

    Map claims= new HashMap<>();
    claims.put(CLAIM_KEY_USERNAME,username);
    claims.put(CLAIM_KEY_CREATE_TIME,new Date(System.currentTimeMillis()));

    return Jwts.builder()
            .setClaims(claims)
            .setExpiration(generateExpirationDate())
            .signWith(SignatureAlgorithm.HS512, SIGNING_KEY)
            //.compressWith(CompressionCodecs.DEFLATE)
            .compact();

}

源码部分

Jwts.builder() 返回了一个 DefaultJwtBuilder()

DefaultJwtBuilder属性

    private static final ObjectMapper OBJECT_MAPPER = new ObjectMapper();
    private Header header; //头部
    private Claims claims; //声明
    private String payload; //载荷
    private SignatureAlgorithm algorithm; //签名算法
    private Key key; //签名key
    private byte[] keyBytes; //签名key的字节数组
    private CompressionCodec compressionCodec; //压缩算法

DefaultJwtBuilder包含了一些Header和Payload的一些常用设置方法

从头说起

• setHeader() 有两种参数形式，一种是Header接口的实现，一种是Map。其中Header接口也继承自Map。如果以第二种形式（即Map）作为参数，在setHeader的时候会生成默认的Header接口实现DefaultHeader对象。两种参数形式调用setHeader()，都会令Header重新赋值。即：

        this.header = header;
        或者
        this.header = new DefaultHeader(header);

• setHeaderParam() 和 setHeaderParams() 向Header追加参数
  两个方法都使用ensureHeader() 方法（返回当前header 如果不存在则创建DefaultHeader）

如果即不设置签名，也不进行压缩，header是不是就应该没有了呢？
不是。即时不进行签名，alg也应该存在，不然对其进行解析会出错。
在生成jwt的时候，如果不设置签名，那么header中的alg应该为none。jjwt中compact()方法实现如下：

        if (key != null) {
            jwsHeader.setAlgorithm(algorithm.getValue());
        } else {
            //no signature - plaintext JWT:
            jwsHeader.setAlgorithm(SignatureAlgorithm.NONE.getValue());
        }

即

{"alg":"none"}

再看载荷

• 值得注意的是，载荷部分存在两个属性：payload和claims。两个属性均可作为载荷，jjwt中二者只能设置其一，如果同时设置，在终端方法compact() 中将抛出异常

        //payload和claims均不设置
        if (payload == null && Collections.isEmpty(claims)) {
            throw new IllegalStateException("Either 'payload' or 'claims' must be specified.");
        }
        //payload和claims同时设置
        if (payload != null && !Collections.isEmpty(claims)) {
            throw new IllegalStateException("Both 'payload' and 'claims' cannot both be specified. Choose either one.");
        }
        //签名key（盐）不设置
        if (key != null && keyBytes != null) {
            throw new IllegalStateException("A key object and key bytes cannot both be specified. Choose either one.");
        }

• setPayload() 设置payload，直接赋值
• setClaims() 设置claims，以参数创建一个新Claims对象，直接赋值
• claim() 如果builder中Claims属性为空，则创建DefaultClaims对象，并把键值放入；如果Claims属性不为空，获取之后判断键值，存在则更新，不存在则直接放入。

还提供了 JWT标准 7个保留声明（Reserved claims）的设置方法，7个声明都是可选的，也就是说可以不用设置。

• setIssuer()
• setSubject()
• setAudience()
• setExpiration()
• setNotBefore()
• setIssuedAt()
• setId()

iss: 签发者
sub: 面向用户
aud: 接收者
iat(issued at): 签发时间
exp(expires): 过期时间
nbf(not before)：不能被接收处理时间，在此之前不能被接收处理
jti：JWT ID为web token提供唯一标识

Payload 举例：

{"sub":"subject","aud":"sina.com","iss":"baidu.com","iat":1528360628,"nbf":1528360631,"jti":"253e6s5e","exp":1528360637}

当然也可以在Payload中添加一些自定义的属性claims键值对

• compressWith() 压缩方法。当载荷过长时可对其进行压缩。可采用jjwt实现的两种压缩方法CompressionCodecs.GZIP和CompressionCodecs.DEFLATE

• signWith() 签名方法。两个参数分别是签名算法和自定义的签名Key（盐）。签名key可以byte[] 、String及Key的形式传入。前两种形式均存入builder的keyBytes属性，后一种形式存入builder的key属性。如果是第二种（及String类型）的key，则将其进行base64解码获得byte[] 。

builder所需的东西都俱备了，那就可以build了！

• compact() 生成JWT。过程如下：

1. 载荷校验，前文已经提及。
2. 获取key。如果是keyBytes则通过keyBytes及算法名生成key对象。
3. 将所使用签名算法写入header。如果使用压缩，将压缩算法写入header。
4. 将Json形式的header转为bytes，再Base64编码
5. 将Json形式的claims转为bytes，如果需要压缩则压缩，再进行Base64编码
6. 拼接header和claims。如果签名key为空，则不进行签名(末尾补分隔符" . ")；如果签名key不为空，以拼接的字符串作为参数，按照指定签名算法进行签名计算签名部分 sign(String jwtWithoutSignature)，签名部分同样也会进行Base64编码。
7. 返回完整JWT

jjwt实现的 DefaultJwtSigner 提供了一个带工厂参数的构造方法。并将jjwt实现的 DefaultSignerFactory
静态实例传入，根据不同的签名算法创建对应的签名器进行签名。