Java的JWT（JSON Web Token）库[关闭]

Question

我正在开发一个使用 Java 和 AngularJS 开发的 Web 应用程序，并选择实现令牌身份验证和授权。 出于练习的目的，我已经将凭据发送到服务器，生成一个随机令牌存储它并将其发送回客户端。 在对服务器的每个请求中，我都将令牌附加到标头中，并且效果很好。 对于身份验证的观点是完美的，不需要更多。

但是，我现在想跟踪用户类型（管理员、普通用户...），以及它的 id 或任何其他唯一字段；据我了解，我必须在登录操作期间发送回客户端的令牌中对其进行加密。对吗？

您是否使用过任何 JWT 库并且可以生成、加密和解密此类令牌？ 非常感谢您提供指向该库的 API 和 Maven 依赖项的链接。

谢谢

Answer 1

如果有人需要答案，

我使用了这个库：http://connect2id.com/products/nimbus-jose-jwt Maven在这里：http://mvnrepository.com/artifact/com.nimbusds/nimbus-jose-jwt/2.10.1

Answer 2

这个库似乎运行良好：https://code.google.com/p/jsontoken/。

这取决于谷歌番石榴。以下是 Maven 工件：

<dependency>
    <groupId>com.googlecode.jsontoken</groupId>
    <artifactId>jsontoken</artifactId>
    <version>1.0</version>
</dependency>
<dependency>
    <groupId>com.google.guava</groupId>
    <artifactId>guava</artifactId>
    <version>18.0</version>
</dependency>

该库实际上被 Google Wallet 使用。

以下是如何创建 jwt，并对其进行验证和反序列化：

import java.security.InvalidKeyException;
import java.security.SignatureException;
import java.util.Calendar;
import java.util.List;

import net.oauth.jsontoken.JsonToken;
import net.oauth.jsontoken.JsonTokenParser;
import net.oauth.jsontoken.crypto.HmacSHA256Signer;
import net.oauth.jsontoken.crypto.HmacSHA256Verifier;
import net.oauth.jsontoken.crypto.SignatureAlgorithm;
import net.oauth.jsontoken.crypto.Verifier;
import net.oauth.jsontoken.discovery.VerifierProvider;
import net.oauth.jsontoken.discovery.VerifierProviders;

import org.apache.commons.lang3.StringUtils;
import org.bson.types.ObjectId;
import org.joda.time.DateTime;

import com.google.common.collect.Lists;
import com.google.gson.JsonObject;


/**
 * Provides static methods for creating and verifying access tokens and such. 
 * @author davidm
 *
 */
public class AuthHelper {

    private static final String AUDIENCE = "NotReallyImportant";

    private static final String ISSUER = "YourCompanyOrAppNameHere";

    private static final String SIGNING_KEY = "LongAndHardToGuessValueWithSpecialCharacters@^($%*$%";

    /**
     * Creates a json web token which is a digitally signed token that contains a payload (e.g. userId to identify 
     * the user). The signing key is secret. That ensures that the token is authentic and has not been modified.
     * Using a jwt eliminates the need to store authentication session information in a database.
     * @param userId
     * @param durationDays
     * @return
     */
    public static String createJsonWebToken(String userId, Long durationDays)    {
        //Current time and signing algorithm
        Calendar cal = Calendar.getInstance();
        HmacSHA256Signer signer;
        try {
            signer = new HmacSHA256Signer(ISSUER, null, SIGNING_KEY.getBytes());
        } catch (InvalidKeyException e) {
            throw new RuntimeException(e);
        }

        //Configure JSON token
        JsonToken token = new net.oauth.jsontoken.JsonToken(signer);
        token.setAudience(AUDIENCE);
        token.setIssuedAt(new org.joda.time.Instant(cal.getTimeInMillis()));
        token.setExpiration(new org.joda.time.Instant(cal.getTimeInMillis() + 1000L * 60L * 60L * 24L * durationDays));

        //Configure request object, which provides information of the item
        JsonObject request = new JsonObject();
        request.addProperty("userId", userId);

        JsonObject payload = token.getPayloadAsJsonObject();
        payload.add("info", request);

        try {
            return token.serializeAndSign();
        } catch (SignatureException e) {
            throw new RuntimeException(e);
        }
    }

    /**
     * Verifies a json web token's validity and extracts the user id and other information from it. 
     * @param token
     * @return
     * @throws SignatureException
     * @throws InvalidKeyException
     */
    public static TokenInfo verifyToken(String token)  
    {
        try {
            final Verifier hmacVerifier = new HmacSHA256Verifier(SIGNING_KEY.getBytes());

            VerifierProvider hmacLocator = new VerifierProvider() {

                @Override
                public List<Verifier> findVerifier(String id, String key){
                    return Lists.newArrayList(hmacVerifier);
                }
            };
            VerifierProviders locators = new VerifierProviders();
            locators.setVerifierProvider(SignatureAlgorithm.HS256, hmacLocator);
            net.oauth.jsontoken.Checker checker = new net.oauth.jsontoken.Checker(){

                @Override
                public void check(JsonObject payload) throws SignatureException {
                    // don't throw - allow anything
                }

            };
            //Ignore Audience does not mean that the Signature is ignored
            JsonTokenParser parser = new JsonTokenParser(locators,
                    checker);
            JsonToken jt;
            try {
                jt = parser.verifyAndDeserialize(token);
            } catch (SignatureException e) {
                throw new RuntimeException(e);
            }
            JsonObject payload = jt.getPayloadAsJsonObject();
            TokenInfo t = new TokenInfo();
            String issuer = payload.getAsJsonPrimitive("iss").getAsString();
            String userIdString =  payload.getAsJsonObject("info").getAsJsonPrimitive("userId").getAsString();
            if (issuer.equals(ISSUER) && !StringUtils.isBlank(userIdString))
            {
                t.setUserId(new ObjectId(userIdString));
                t.setIssued(new DateTime(payload.getAsJsonPrimitive("iat").getAsLong()));
                t.setExpires(new DateTime(payload.getAsJsonPrimitive("exp").getAsLong()));
                return t;
            }
            else
            {
                return null;
            }
        } catch (InvalidKeyException e1) {
            throw new RuntimeException(e1);
        }
    }


}

public class TokenInfo {
    private ObjectId userId;
    private DateTime issued;
    private DateTime expires;
    public ObjectId getUserId() {
        return userId;
    }
    public void setUserId(ObjectId userId) {
        this.userId = userId;
    }
    public DateTime getIssued() {
        return issued;
    }
    public void setIssued(DateTime issued) {
        this.issued = issued;
    }
    public DateTime getExpires() {
        return expires;
    }
    public void setExpires(DateTime expires) {
        this.expires = expires;
    }
}

这是基于此处的代码：https://developers.google.com/wallet/instant-buy/about-jwts 在这里：https://code.google.com/p/wallet-online-sample-java/source/browse/src/com/google/wallet/online/jwt/util/WalletOnlineService.java?r=08b3333bd7260b20846d7d96d3cf15be8a128dfa

Answer 3

IETF 在其 wiki 上建议了 jose 库： http://trac.tools.ietf.org/wg/jose/trac/wiki

我强烈建议使用它们进行签名。我不是 Java 人，但看起来 jose4j 似乎是一个不错的选择。也有很好的例子：https://bitbucket.org/b_c/jose4j/wiki/JWS%20Examples

更新：jwt.io 提供了几个 jwt 相关的简洁比较 库及其功能。必须检查！

我很想听听其他 Java 开发者喜欢什么。

Answer 4

JJWT 旨在成为 JVM 和 Android 上最易于使用和理解的 JWT 库：

https://github.com/jwtk/jjwt

Answer 5

我发现这是小而完整的https://github.com/auth0/java-jwt

Answer 6

https://github.com/networknt/jsontoken

这是原始 google jsontoken 的一个分支

它自 2012 年 9 月 11 日以来一直没有更新，并且依赖于一些旧包。

我做了什么：

Convert from Joda time to Java 8 time. So it requires Java 8.
Covert Json parser from Gson to Jackson as I don't want to include two Json parsers to my projects.
Remove google collections from dependency list as it is stopped long time ago.
Fix thread safe issue with Java Mac.doFinal call.

所有现有的单元测试以及一些新添加的测试用例都通过了。

这是一个生成令牌和验证令牌的示例。更多使用方法请查看https://github.com/networknt/light源码。

我是 jsontoken 和 Omni-Channel Application Framework 的作者。

Answer 7

此页面保留了对各种语言（包括 Java）的实现的引用，并比较了功能：http://kjur.github.io/jsjws/index_mat.html

Answer 8

如果您只需要解析未签名的未加密令牌，您可以使用以下代码：

boolean parseJWT_2() {
    String authToken = getToken();
    String[] segments = authToken.split("\\.");
    String base64String = segments[1];
    int requiredLength = (int)(4 * Math.ceil(base64String.length() / 4.0));
    int nbrPaddings = requiredLength - base64String.length();

    if (nbrPaddings > 0) {
        base64String = base64String + "====".substring(0, nbrPaddings);
    }

    base64String = base64String.replace("-", "+");
    base64String = base64String.replace("_", "/");

    try {
        byte[] data = Base64.decode(base64String, Base64.DEFAULT);

        String text;
        text = new String(data, "UTF-8");
        tokenInfo = new Gson().fromJson(text, TokenInfo.class);
    } catch (Exception e) {
        e.printStackTrace();
        return false;
    }

    return true;
}

Answer 9

通过引用https://jwt.io/，您可以找到多种语言的jwt 实现，包括java。该网站还提供了这些实现之间的一些比较（它们支持的算法和......）。

对于java，这些是提到的库：

• https://github.com/jwtk/jjwt
• https://github.com/auth0/java-jwt（https://auth0.com/docs/server-apis/java的教程）
• https://bitbucket.org/b_c/jose4j
• https://bitbucket.org/connect2id/nimbus-jose-jwt