盘古AI的JWT令牌验证如何实现？

AI智领航5775个月前

盘古AI的JWT令牌验证实现指南

在盘古AI的API服务中,JWT（JSON Web Token）作为核心身份验证机制，其验证流程需严格遵循RFC 7519标准，以下从技术实现、安全规范及最佳实践三个维度，系统解析JWT令牌验证的实现路径。

JWT令牌结构解析

JWT由三部分组成,每部分通过Base64Url编码后以点号分隔：

Header
包含令牌类型和签名算法，
```
{"alg":"HS256","typ":"JWT"}
```
编码后为：eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9
Payload
存储用户身份信息及业务声明，
```
{"userId":"123","role":"admin","exp":1724236800}
```
编码后为：eyJ1c2VySWQiOiIxMjMiLCJyb2xlIjoiYWRtaW4ifQ
⚠️ 敏感信息（如密码）禁止存放，Payload仅用于传输非敏感数据。
Signature
通过Header指定的算法（如HS256）对Header和Payload编码后的字符串进行签名，
```
HMACSHA256(base64UrlEncode(header) + "." + base64UrlEncode(payload), secretKey)
```
最终生成完整令牌：
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1c2VySWQiOiIxMjMiLCJyb2xlIjoiYWRtaW4ifQ.7Nt1IbfAZ52PKW5cjjbjr3oND9iaJxvGFO5w5g3uNV8

验证流程实现

依赖配置

在盘古AI的Java服务中,需引入JJWT库（版本0.12.3+）：

<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-api</artifactId>
    <version>0.12.3</version>
</dependency>
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-impl</artifactId>
    <version>0.12.3</version>
    <scope>runtime</scope>
</dependency>
<dependency>
    <groupId>io.jsonwebtoken</groupId>
    <artifactId>jjwt-jackson</artifactId>
    <version>0.12.3</version>
    <scope>runtime</scope>
</dependency>

验证工具类实现

import io.jsonwebtoken.*;
import java.util.Date;
import java.util.HashMap;
import java.util.Map;
public class JwtValidator {
    private static final String SECRET_KEY = "盘古AI-256位密钥"; // 需存储在安全配置中
    private static final long EXPIRATION_TIME = 24 * 60 * 60 * 1000; // 24小时
    // 生成令牌
    public static String generateToken(String userId, String role) {
        Map<String, Object> claims = new HashMap<>();
        claims.put("userId", userId);
        claims.put("role", role);
        return Jwts.builder()
                .setClaims(claims)
                .setIssuedAt(new Date())
                .setExpiration(new Date(System.currentTimeMillis() + EXPIRATION_TIME))
                .signWith(SignatureAlgorithm.HS256, SECRET_KEY)
                .compact();
    }
    // 验证令牌
    public static Claims validateToken(String token) {
        try {
            return Jwts.parserBuilder()
                    .setSigningKey(SECRET_KEY)
                    .build()
                    .parseClaimsJws(token)
                    .getBody();
        } catch (ExpiredJwtException e) {
            throw new RuntimeException("令牌已过期");
        } catch (UnsupportedJwtException e) {
            throw new RuntimeException("不支持的令牌类型");
        } catch (MalformedJwtException e) {
            throw new RuntimeException("令牌格式错误");
        } catch (SignatureException e) {
            throw new RuntimeException("签名验证失败（可能被篡改）");
        } catch (IllegalArgumentException e) {
            throw new RuntimeException("令牌为空");
        }
    }
}

拦截器实现

在Spring Boot中，通过拦截器验证请求头中的JWT：

import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import org.springframework.web.servlet.HandlerInterceptor;
public class JwtInterceptor implements HandlerInterceptor {
    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) {
        String token = request.getHeader("Authorization");
        if (token == null || !token.startsWith("Bearer ")) {
            response.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
            return false;
        }
        try {
            Claims claims = JwtValidator.validateToken(token.substring(7));
            // 将用户信息存入ThreadLocal供后续使用
            UserContext.setCurrentUser(claims.get("userId").toString());
            return true;
        } catch (RuntimeException e) {
            response.setStatus(HttpServletResponse.SC_UNAUTHORIZED);
            return false;
        }
    }
}