摘要：面试时经常会碰到一些让人摸不着头脑的问题，其中有一个常见的面试题——"JWT是什么？Java-JWT呢？" 一提到JWT，很多人可能第一反应就是：这是什么黑魔法？我也没用过，怎么回答？
面试时经常会碰到一些让人摸不着头脑的问题，其中有一个常见的面试题——"JWT是什么？Java-JWT呢？" 一提到JWT，很多人可能第一反应就是：这是什么黑魔法？我也没用过，怎么回答？
放心，今天我就来给大家普及一下这些看起来很复杂但其实不难理解的东西。先给你们几个关键词：JWT， 认证， java-JWT，让我们一起进入这个程序员的小小迷宫，一起搞明白！
让我们先从JWT的全称聊起—— JSON Web Token。简单来说，它就是一种基于JSON的开放标准（RFC 7519），用于在网络应用环境中传递声明（比如用户身份认证信息）。你可以把它理解为一种便捷、轻量的认证机制。
要理解JWT的意义，我们可以从这个场景出发：
假设你在写一个Web应用，用户需要登录并进行身份验证。传统的做法可能是每次用户访问页面时，服务器都需要查询数据库来确认用户的身份，过程可能显得非常繁琐。而JWT的出现，就解决了这个问题。JWT允许服务器将认证信息打包在一个Token里面发给客户端，客户端通过这个Token就能快速通过认证，无需每次都去查数据库，极大提升了效率。
这个Token就是JWT，它包含了3部分：
Header：头部，通常包含两部分内容——签名算法和令牌类型（如JWT）。Payload：有效载荷，包含了你需要传递的信息（比如用户ID，权限等），通常是一些JSON格式的键值对。Signature：签名部分，主要是为了验证数据的完整性和验证发送者的身份。签名是通过Header和Payload一起，使用服务器端的私钥进行加密生成的。JWT看起来大概就是这个结构：
Header.Payload.Signature举个简单的例子：
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c这就是一个典型的JWT，它由三个部分组成：头部、有效载荷和签名。你可以看到，它们之间用“.”进行分隔，第一部分是加密后的Header，第二部分是有效载荷数据，第三部分是加密后的签名。
JWT的出现，基本上可以说解决了几个关键问题：
无状态：JWT是无状态的，也就是说，你不需要在服务器端存储用户的会话信息。每个请求中，JWT都包含了用户的身份信息，服务器只需要验证JWT的合法性，判断是否被篡改。跨域认证：传统的Cookie认证只能在同源的情况下工作，而JWT是跨域的。只要JWT是通过HTTPS发送的，它可以在多个域名之间共享，这对于分布式应用、微服务架构等场景非常有用。灵活性高：JWT的有效载荷部分，你可以随意携带任何你需要的信息。它不仅仅用于认证，还可以用于授权、数据交换等。轻量高效：由于JWT是纯文本格式（JSON），它非常轻量，而且编码后的JWT也很短。这样在网络传输中就很高效。不过，虽然JWT很方便，但也不是没有缺点：
JWT是自包含的，但这也意味着JWT的有效载荷中如果包含了敏感信息，必须要小心。因为JWT虽然是经过签名的，但它本身并没有加密，所以其中的内容是可以被解码出来的。JWT的过期时间问题。一旦JWT过期，就需要重新登录。如果设计不当，可能会造成过期时间过短或者过长的问题。讲到这里，可能有小伙伴会问：“那如果我用Java，怎么操作JWT呢？” 这时候，你就可以使用一个非常流行的库—— Java-JWT。
Java-JWT是一个用于生成和验证JWT的Java库。它帮助你在Java应用中更简单地处理JWT。它提供了封装好的API，让你可以快速创建JWT、解析JWT以及验证JWT的有效性。对程序员来说，它简直是“傻瓜式”的JWT操作工具。
我们来看一个简单的代码示例，展示如何使用 Java-JWT 生成一个JWT。
首先，确保你已经在项目中引入了Java-JWT的依赖：
com.auth0 java-jwt 3.18.2接下来，我们来编写代码：
import com.auth0.jwt.JWT;import com.auth0.jwt.algorithms.Algorithm;import java.util.Date;public class JwtExample { public static String createJWT(String userId) { // 使用HS256算法，设置密钥 Algorithm algorithm = Algorithm.HMAC256("secret"); // 设置JWT的过期时间为1小时 Date now = new Date; Date expiryDate = new Date(now.getTime + 3600000); // 1小时后过期 // 创建JWT String token = JWT.create .withIssuer("myApp") .withSubject(userId) .withIssuedAt(now) .withExpiresAt(expiryDate) .sign(algorithm); return token; } public static void main(String args) { String userId = "123456"; String token = createJWT(userId); System.out.println("生成的JWT是: " + token); }}这段代码使用了Java-JWT库的API来生成一个JWT。你可以看到，我们指定了JWT的Issuer（颁发者）、Subject（主题）以及过期时间，最后通过指定的密钥（"secret"）生成签名。
输出结果看起来就是这个样子：
生成的JWT是: eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiIxMjM0NTYiLCJpc3MiOiJteUFwcCIsImlhdCI6MTYzMjM2NzI0MiwiZXhwIjoxNjMyMzY3MjcwfQ.sO_M_JYy-G6NEcPTpvxj9Fe1N6Os00jc5hbMy_pJH9k五、验证JWT接下来我们来看如何验证JWT。验证过程主要是确认JWT的签名是否正确以及是否过期。
import com.auth0.jwt.JWT;import com.auth0.jwt.Exceptions.JWTVerificationexception;import com.auth0.jwt.interfaces.DecodedJWT;import com.auth0.jwt.interfaces.JWTVerifier;import com.auth0.jwt.algorithms.Algorithm;public class JwtVerifyExample { public static void verifyJWT(String token) { try { // 创建HMAC256算法对象 Algorithm algorithm = Algorithm.HMAC256("secret"); // 创建JWTVerifier JWTVerifier verifier = JWT.require(algorithm) .withIssuer("myApp") .build; // 验证JWT DecodedJWT decodedJWT = verifier.verify(token); // 打印JWT信息 System.out.println("用户ID: " + decodedJWT.getSubject); System.out.println("签发时间: " + decodedJWT.getIssuedAt); System.out.println("过期时间: " + decodedJWT.getExpiresAt); } catch (JWTVerificationException exception) { // 验证失败，打印错误信息 System.out.println("JWT验证失败: " + exception.getMessage); } } public static void main(String args) { String token = "从上面的生成代码获取的JWT"; verifyJWT(token); }}这段代码验证了JWT的合法性，判断它是否被篡改，并且检查是否过期。如果一切正常，就会输出JWT的相关信息。
JWT本质上就是一种轻量级、无状态的身份认证机制，广泛应用于分布式系统和微服务架构中。在Java中，使用Java-JWT库生成和验证JWT非常方便，能够简化认证过程，提高效率。
不过，虽然JWT很方便，但在使用时要注意安全性，尤其是存储和传输过程中需要加密敏感信息，避免泄露。并且要设置合理的过期时间，避免无限期的JWT令牌导致的安全风险。
来源：麻辣小王子