JWT校验

### 如何校验JWT Token的合法性 #### 1. 验证签名的有效性 JWT 的签名部分用于验证消息在传输过程中未被篡改。通过使用相同的算法和密钥重新计算签名并与接收到的签名进行比较，可以确认数据的一致性和完整性[^3]。 ```java import io.jsonwebtoken.Jwts; import io.jsonwebtoken.SignatureAlgorithm; public class JwtValidator { public boolean validateSignature(String token, String secretKey) { try { Jwts.parser().setSigningKey(secretKey).parseClaimsJws(token); return true; } catch (Exception e) { return false; } } } ``` 上述代码展示了如何利用 `io.jsonwebtoken` 库解析并验证 JWT 签名的过程。如果解析成功，则说明签名有效；否则表示签名已被破坏或不匹配[^2]。 --- #### 2. 检查声明字段的时间参数 JWT 中通常包含一些时间相关的声明字段（如 `iat`, `exp`, `nbf`），这些字段定义了令牌的有效时间段。需要确保当前时间落在允许范围内： - **`iat`**: 表示该令牌何时创建。 - **`exp`**: 定义了令牌到期时间，超过此时间则视为无效。 - **`nbf`**: Not Before 时间戳，在指定之前不应接受处理该令牌。 以下是 Java 实现中的一个例子，展示如何读取并验证这些时间属性： ```java import java.util.Date; public class TimeClaimChecker { public boolean checkTimeClaims(String token, String secretKey) throws Exception { var claims = Jwts.parser() .setSigningKey(secretKey) .parseClaimsJws(token) .getBody(); Date now = new Date(); // Check expiration time if (claims.getExpiration() != null && !now.before(claims.getExpiration())) { throw new IllegalArgumentException("Token has expired"); } // Optional: Check 'not before' if (claims.getNotBefore() != null && now.before(claims.getNotBefore())) { throw new IllegalArgumentException("Token is not yet valid"); } return true; } } ``` 这段逻辑会抛出异常当发现任何违反时间约束的情况时[^5]。 --- #### 3. 校验发行者和其他自定义字段 除了标准的时间字段外，还可以进一步检查其他特定于业务需求的信息，比如发行人 (`iss`) 或受众群体 (`aud`) 是否符合预期值。这一步骤有助于防止未经授权的应用程序冒充合法实体发出请求。 例如： ```java if (!"expectedIssuer".equals(claims.getIssuer())) { throw new SecurityException("Invalid issuer"); } ``` 以上片段演示了一个简单的字符串对比操作来判断 Issuer 是否正确[^4]。 --- #### 总结流程 综上所述，完整的 JWT 校验过程应包括但不限于以下几个方面： 1. 使用预设的秘密密钥验证其数字签名； 2. 对比当前时刻与嵌入式的有效期标记(`exp`,`nbf`); 3. （可选）依据实际应用场景审核额外的身份标识符或者权限范围等内容。 ---