JWT是JSON WEB TOKEN的简写，常用于生成及校验Token。
常见的使用场景为：用户携带name和秘钥访问后端服务器，应用后端在校验通过后使用JWT生成并返回一串Token，后续用户只需要携带此Token就可以访问服务器，在此不多赘述。
本文目的是基于redis实现token自动更新其过期时间，在校验用户姓名和密码后使用JWT工具类生成会过期的Token，当用户携带此Token访问服务器后会自动延长其过期时间。
例如：用户A携带账户名及秘钥获取token，该token过期时间为2小时，过了1小时后用户再次携带该token访问系统，系统会自动将该token过期时间设置为此刻往后2小时候过期。
1、前提
1.1、JWT工具类
public class JwtUtil { public static final String JWT_ID = "dshsdhsdgjhjdsh"; /** * jwt 加密解密密钥(可自行填写Base64加密) */ private static final String JWT_SECRET = "ahsagsggfTwGGFff"; /** * 创建JWT */ public static String createJwt(Map<String, Object> claims, Long time) { //指定签名的时候使用的签名算法，也就是header那部分，jjwt已经将这部分内容封装好了。 SignatureAlgorithm signatureAlgorithm = SignatureAlgorithm.HS256; Date now = new Date(System.currentTimeMillis()); SecretKey secretKey = generalKey(); //下面就是在为payload添加各种标准声明和私有声明了，new一个JwtBuilder，设置jwt的body JwtBuilder builder = Jwts.builder() //如果有私有声明，一定要先设置这个自己创建的私有的声明，这个是给builder的claim赋值，一旦写在标准的声明赋值之后，就是覆盖了那些标准的声明的 .setClaims(claims) //设置jti(JWT ID)：是JWT的唯一标识，根据业务需要，这个可以设置为一个不重复的值，主要用来作为一次性token,从而回避重放攻击。 .setId(JWT_ID) //iat: jwt的签发时间 .setIssuedAt(now) //设置过期时间 .setExpiration(new Date(System.currentTimeMillis() + time)) //设置签名使用的签名算法和签名使用的秘钥 .signWith(signatureAlgorithm, secretKey); return builder.compact(); } /** * 验证jwt */ public static Claims verifyJwt(String token) { //签名秘钥，和生成的签名的秘钥一模一样 SecretKey key = generalKey(); Claims claims; try { //得到DefaultJwtParser claims = Jwts.parser() //设置签名的秘钥 .setSigningKey(key) .parseClaimsJws(token).getBody(); } catch (Exception e) { claims = null; }//设置需要解析的jwt return claims; } /** * 刷新token并设置过期时间 * @param token 旧的token * @param newExpirationInMillis 过期时间，单位毫秒 * @return 新的jwt token */ public static String updateTokenExpiration(String token, Long newExpirationInMillis) { SignatureAlgorithm signatureAlgorithm = SignatureAlgorithm.HS256; SecretKey secretKey = generalKey(); Claims claims = Jwts.parser() .setSigningKey(secretKey) .parseClaimsJws(token) .getBody(); claims.setExpiration(new Date(System.currentTimeMillis()+newExpirationInMillis)); return Jwts.builder() .setClaims(claims) .setId(JWT_ID) .signWith(signatureAlgorithm, secretKey) .compact(); } /** * 由字符串生成加密key * * @return */ public static SecretKey generalKey() { byte[] encodedKey = Base64.decodeBase64(JWT_SECRET); SecretKey key = new SecretKeySpec(encodedKey, 0, encodedKey.length, "AES"); return key; }}1.2、Maven依赖
<dependency> <groupId>io.jsonwebtoken</groupId> <artifactId>jjwt</artifactId> <version>0.9.1</version></dependency>
1.3、配置过期时间及其他常量
private static final long EXPIRE_TIME = 7200 * 1000;private static final String USER_NAME = "user_name";private static final String SECRET = "password";private static final String JWT_TOKEN_USERNAME = "jwt_token:username";2、思路与流程
2.1、生成Token
步骤一：用户携带userName和Password访问后端接口，当校验通过后使用JWT工具类生成Token；
//校验appId和秘钥...//如果校验通过则生成JWT HashMap<String, Object> jwtMap = new HashMap<>(5); jwtMap.put(USER_NAME, userName); jwtMap.put(SECRET, password); //生成JWT String jwt = JwtUtil.createJwt(jwtMap, EXPIRE_TIME);步骤二：将生成Token及过期时间放入redis数据库中
String oldToken = (String) redisClient.get(JWT_TOKEN_USERNAME + USER_NAME); //判断是否存在旧的Token if (oldToken != null) { redisClient.delete(oldToken); } //多次获取token只生效最后一次 redisClient.set(jwt, jwt, EXPIRE_TIME); redisClient.set(JWT_TOKEN_USERNAME + appId, jwt, EXPIRE_TIME);2.2、校验Token
String valueToken = (String) redisClient.get(token); if (valueToken == null) { //输出无效信息 log.error("TOKEN:{}无效", token); //抛异常 throw new Exception(); } else { Claims claims = JwtUtil.verifyJwt(valueToken); if (claims == null) { log.error("TOKEN:{}已过期", token); throw new Exception(); } String newToken = JwtUtil.updateTokenExpiration(valueToken, EXPIRE_TIME); log.info("刷新后的token为：{}", newToken); redisClient.set(token, newToken, EXPIRE_TIME); String appKey = (String) claims.get(USER_NAME); redisClient.expire(JWT_TOKEN_USERNAME + username, EXPIRE_TIME,TimeUnit.MILLISECONDS); return claims.get(USER_NAME); }