Бібліотека JWT (JSON Web Token) для Java [закрито]

Я працюю над веб-додатком, розробленим за допомогою Java та AngularJS, і вирішив реалізувати аутентифікацію та авторизацію маркера. З метою вправи я дійшов до того моменту, коли я надсилаю облікові дані на сервер, генерую випадковий маркер, що зберігає його, і відправляю назад клієнту. На кожен запит до сервера я вкладаю маркер у шапку, і він працює ідеально. Для точки зору автентифікації ідеальна і не потребує більше.

Однак зараз я хочу відстежувати тип користувача (адміністратор, звичайний користувач ...), а також його ідентифікатор або будь-яке інше унікальне поле; як я зрозумів, я повинен зашифрувати це в токені, який я надсилаю назад клієнту під час дії журналу. Це правильно?

Чи існує якась бібліотека JWT, яку ви використовували, і яка може генерувати, шифрувати та дешифрувати такі маркери? Буде дуже вдячне посилання на API бібліотеки та залежність Maven.

Дякую

JJWT прагне бути найпростішою у використанні та розумінні бібліотеки JWT для JVM та Android:

https://github.com/jwtk/jjwt

Якщо хтось потребує відповіді,

Я використовував цю бібліотеку: http://connect2id.com/products/nimbus-jose-jwt Maven тут: http://mvnrepository.com/artifact/com.nimbusds/nimbus-jose-jwt/2.10.1

Посилаючись на https://jwt.io/, ви можете знайти jwtреалізації багатьма мовами, включаючи java. Також сайт надає деяке порівняння між цим впровадженням (алгоритмами, які вони підтримують, та ....).

Для javaних згадані бібліотеки:

• https://github.com/jwtk/jjwt
• https://github.com/auth0/java-jwt (Підручник на https://auth0.com/docs/server-apis/java )
• https://bitbucket.org/b_c/jose4j
• https://bitbucket.org/connect2id/nimbus-jose-jwt

Здається, ця бібліотека працює добре: https://code.google.com/p/jsontoken/ .

Це залежить від Google Guava. Ось артефакти Maven:

<dependency>
    <groupId>com.googlecode.jsontoken</groupId>
    <artifactId>jsontoken</artifactId>
    <version>1.0</version>
</dependency>
<dependency>
    <groupId>com.google.guava</groupId>
    <artifactId>guava</artifactId>
    <version>18.0</version>
</dependency>

Бібліотека фактично використовується Google Wallet.

Ось як створити jwt, а також перевірити його та десериалізувати:

import java.security.InvalidKeyException;
import java.security.SignatureException;
import java.util.Calendar;
import java.util.List;

import net.oauth.jsontoken.JsonToken;
import net.oauth.jsontoken.JsonTokenParser;
import net.oauth.jsontoken.crypto.HmacSHA256Signer;
import net.oauth.jsontoken.crypto.HmacSHA256Verifier;
import net.oauth.jsontoken.crypto.SignatureAlgorithm;
import net.oauth.jsontoken.crypto.Verifier;
import net.oauth.jsontoken.discovery.VerifierProvider;
import net.oauth.jsontoken.discovery.VerifierProviders;

import org.apache.commons.lang3.StringUtils;
import org.bson.types.ObjectId;
import org.joda.time.DateTime;

import com.google.common.collect.Lists;
import com.google.gson.JsonObject;


/**
 * Provides static methods for creating and verifying access tokens and such. 
 * @author davidm
 *
 */
public class AuthHelper {

    private static final String AUDIENCE = "NotReallyImportant";

    private static final String ISSUER = "YourCompanyOrAppNameHere";

    private static final String SIGNING_KEY = "LongAndHardToGuessValueWithSpecialCharacters@^($%*$%";

    /**
     * Creates a json web token which is a digitally signed token that contains a payload (e.g. userId to identify 
     * the user). The signing key is secret. That ensures that the token is authentic and has not been modified.
     * Using a jwt eliminates the need to store authentication session information in a database.
     * @param userId
     * @param durationDays
     * @return
     */
    public static String createJsonWebToken(String userId, Long durationDays)    {
        //Current time and signing algorithm
        Calendar cal = Calendar.getInstance();
        HmacSHA256Signer signer;
        try {
            signer = new HmacSHA256Signer(ISSUER, null, SIGNING_KEY.getBytes());
        } catch (InvalidKeyException e) {
            throw new RuntimeException(e);
        }

        //Configure JSON token
        JsonToken token = new net.oauth.jsontoken.JsonToken(signer);
        token.setAudience(AUDIENCE);
        token.setIssuedAt(new org.joda.time.Instant(cal.getTimeInMillis()));
        token.setExpiration(new org.joda.time.Instant(cal.getTimeInMillis() + 1000L * 60L * 60L * 24L * durationDays));

        //Configure request object, which provides information of the item
        JsonObject request = new JsonObject();
        request.addProperty("userId", userId);

        JsonObject payload = token.getPayloadAsJsonObject();
        payload.add("info", request);

        try {
            return token.serializeAndSign();
        } catch (SignatureException e) {
            throw new RuntimeException(e);
        }
    }

    /**
     * Verifies a json web token's validity and extracts the user id and other information from it. 
     * @param token
     * @return
     * @throws SignatureException
     * @throws InvalidKeyException
     */
    public static TokenInfo verifyToken(String token)  
    {
        try {
            final Verifier hmacVerifier = new HmacSHA256Verifier(SIGNING_KEY.getBytes());

            VerifierProvider hmacLocator = new VerifierProvider() {

                @Override
                public List<Verifier> findVerifier(String id, String key){
                    return Lists.newArrayList(hmacVerifier);
                }
            };
            VerifierProviders locators = new VerifierProviders();
            locators.setVerifierProvider(SignatureAlgorithm.HS256, hmacLocator);
            net.oauth.jsontoken.Checker checker = new net.oauth.jsontoken.Checker(){

                @Override
                public void check(JsonObject payload) throws SignatureException {
                    // don't throw - allow anything
                }

            };
            //Ignore Audience does not mean that the Signature is ignored
            JsonTokenParser parser = new JsonTokenParser(locators,
                    checker);
            JsonToken jt;
            try {
                jt = parser.verifyAndDeserialize(token);
            } catch (SignatureException e) {
                throw new RuntimeException(e);
            }
            JsonObject payload = jt.getPayloadAsJsonObject();
            TokenInfo t = new TokenInfo();
            String issuer = payload.getAsJsonPrimitive("iss").getAsString();
            String userIdString =  payload.getAsJsonObject("info").getAsJsonPrimitive("userId").getAsString();
            if (issuer.equals(ISSUER) && !StringUtils.isBlank(userIdString))
            {
                t.setUserId(new ObjectId(userIdString));
                t.setIssued(new DateTime(payload.getAsJsonPrimitive("iat").getAsLong()));
                t.setExpires(new DateTime(payload.getAsJsonPrimitive("exp").getAsLong()));
                return t;
            }
            else
            {
                return null;
            }
        } catch (InvalidKeyException e1) {
            throw new RuntimeException(e1);
        }
    }


}

public class TokenInfo {
    private ObjectId userId;
    private DateTime issued;
    private DateTime expires;
    public ObjectId getUserId() {
        return userId;
    }
    public void setUserId(ObjectId userId) {
        this.userId = userId;
    }
    public DateTime getIssued() {
        return issued;
    }
    public void setIssued(DateTime issued) {
        this.issued = issued;
    }
    public DateTime getExpires() {
        return expires;
    }
    public void setExpires(DateTime expires) {
        this.expires = expires;
    }
}

Це базується на коді тут: https://developers.google.com/wallet/instant-buy/about-jwts А тут: https://code.google.com/p/wallet-online-sample-java/source /browse/src/com/google/wallet/online/jwt/util/WalletOnlineService.java?r=08b3333bd7260b20846d7d96d3cf15be8a128dfa

IETF запропонував jose libs на своїй вікі: http://trac.tools.ietf.org/wg/jose/trac/wiki

Я настійно рекомендую використовувати їх для підписання. Я не хлопець з Java, але, схоже, jose4j здається хорошим варіантом. Також має хороші приклади: https://bitbucket.org/b_c/jose4j/wiki/JWS%20Examples

Оновлення: jwt.io забезпечує чітке порівняння кількох пов’язаних бібліотек jwt та їх особливостей. Обов’язкова перевірка!

Я хотів би почути, що віддають перевагу інші розробники Java.

Я виявив, що це невелике та повне https://github.com/auth0/java-jwt

Ця сторінка містить посилання на реалізації різними мовами, включаючи Java, та порівнює функції: http://kjur.github.io/jsjws/index_mat.html

Якщо вам потрібно проаналізувати лише непідписані незашифровані маркери, ви можете використати цей код:

boolean parseJWT_2() {
    String authToken = getToken();
    String[] segments = authToken.split("\\.");
    String base64String = segments[1];
    int requiredLength = (int)(4 * Math.ceil(base64String.length() / 4.0));
    int nbrPaddings = requiredLength - base64String.length();

    if (nbrPaddings > 0) {
        base64String = base64String + "====".substring(0, nbrPaddings);
    }

    base64String = base64String.replace("-", "+");
    base64String = base64String.replace("_", "/");

    try {
        byte[] data = Base64.decode(base64String, Base64.DEFAULT);

        String text;
        text = new String(data, "UTF-8");
        tokenInfo = new Gson().fromJson(text, TokenInfo.class);
    } catch (Exception e) {
        e.printStackTrace();
        return false;
    }

    return true;
}

https://github.com/networknt/jsontoken

Це вилка оригінального google jsontoken

Він не оновлювався з 11 вересня 2012 року і залежить від деяких старих пакунків.

Що я зробив:

Convert from Joda time to Java 8 time. So it requires Java 8.
Covert Json parser from Gson to Jackson as I don't want to include two Json parsers to my projects.
Remove google collections from dependency list as it is stopped long time ago.
Fix thread safe issue with Java Mac.doFinal call.

Усі існуючі модульні тести пройшли разом із деякими нещодавно доданими тестовими кейсами.

Ось зразок для генерації маркера та перевірки маркера. Для отримання додаткової інформації, будь ласка, перевірте https://github.com/networknt/light вихідний код для використання.

Я є автором jsontoken та Omni-Channel Application Framework.