Javatoken生成和驗證

在現代互聯網應用中，用戶鑒權是非常重要的一環。而一種常見的鑒權方式就是使用token。token是指一段加密的字元串，包含用戶的一些基本信息和許可權信息，用來替代傳統的cookie或session等狀態信息。而Java作為一種常用的編程語言，也提供了一些方便的工具來生成和驗證token，本文將從多個方面闡述Java中如何生成和驗證token。

一、基礎概念

token是指一段加密的字元串，用來驗證介面調用者是否具有執行該介面的許可權。常見的token生成方式有很多種，比如JWT、OAuth等。

二、JWT的生成和驗證

JWT是指JSON Web Tokens，它是一種開放的標準（RFC 7519），可以把用戶信息和訪問許可權信息打包到一個安全的token中，並且可以使用秘鑰進行簽名。下面是使用Java JWT庫生成和驗證JWT的示例代碼:

// 生成JWT
import io.jsonwebtoken.Claims;
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;

import java.util.Date;

public String generateJwt(SecretKey secretKey, String subject, long ttlMillis) {
    // 設置過期時間
    long nowMillis = System.currentTimeMillis();
    Date now = new Date(nowMillis);
    Date exp = new Date(nowMillis + ttlMillis);

    // 構建JWT
    String jwt = Jwts.builder()
            .setSubject(subject)
            .setIssuedAt(now)
            .setExpiration(exp)
            .signWith(secretKey, SignatureAlgorithm.HS256)
            .compact();
    return jwt;
}

// 驗證JWT
public boolean validateJwt(SecretKey secretKey, String jwt) {
    try {
        Claims claims = Jwts.parser()
                .setSigningKey(secretKey)
                .parseClaimsJws(jwt).getBody();
        return true;
    } catch (Exception e) {
        return false;
    }
}

三、基於Token的認證攔截器

為了方便使用token進行鑒權，我們通常會實現一個基於Token的認證攔截器。以下是一個示例代碼:

public class AuthenticationInterceptor implements HandlerInterceptor {
    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) {
        String token = request.getHeader("Authorization");

        // 如果token為空，返回401錯誤
        if (StringUtils.isEmpty(token)) {
            response.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
            return false;
        }

        // 驗證token
        boolean valid = validateToken(token);

        // 如果token非法，返回401錯誤
        if (!valid) {
            response.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
            return false;
        }

        return true;
    }

    // 驗證token
    private boolean validateToken(String token) {
        // TODO: 驗證token的實現代碼
        return true;
    }
}

四、驗證token的黑名單

由於token具有一定的時效性，而且一旦泄露可能會有安全風險，所以通常會實現一個token的黑名單機制。將過期或者被強行註銷的token加入黑名單中，這樣就可以在後續的驗證中提前判斷token是否合法。以下是一個示例代碼:

public class TokenBlackList {
    private static Set tokenSet = new HashSet();

    // 將token加入黑名單
    public static void addToken(String token) {
        tokenSet.add(token);
    }

    // 判斷token是否在黑名單中
    public static boolean isInvalid(String token) {
        return tokenSet.contains(token);
    }

    // 將過期的token加入黑名單
    public static void addExpiredToken(String token) {
        long expiredTime = extractExpiration(token).getTime();
        long now = System.currentTimeMillis();
        if (expiredTime < now) {
            tokenSet.add(token);
        }
    }

    // 從token中解析出過期時間
    private static Date extractExpiration(String token) {
        Claims claims = Jwts.parser()
                .setSigningKey(secretKey)
                .parseClaimsJws(token).getBody();
        return claims.getExpiration();
    }
}

// 將過期的token加入黑名單
public void addToBlackList(HttpServletRequest request) {
    String token = request.getHeader("Authorization");
    TokenBlackList.addExpiredToken(token);
}

五、總結

以上是Java中生成和驗證token的一些常見方法，這些方法可以被廣泛應用於各種Web應用程序中。在實際應用中，我們可以根據需求選擇不同的方法，來保證應用的安全性和用戶的數據隱私。同時，在使用token進行鑒權時，我們也應該注意一些常見的安全問題，比如token的時效性、黑名單機制、token的加密方式等。