Android JWT解析有效负载/声明时签署

Question

我有一个签名的JWT字符串，我从服务器上获得。我不知道密钥，或者更确切地说，我不想把密钥放在客户端/设备上。

当使用这个网站与我的令牌：https://jwt.io/我得到想要的结果，它告诉我头和有效载荷信息。

我在Android系统上找不到一个像这个网站那样的库，我已经尝试了我能找到的所有库。最受认可的方法是：https://github.com/jwtk/jjwt

但这给了我一个例外，我不能解析一个签名的令牌，正如上面的另一个网站所证明的，它是假的。我使用的另一个资源是：https://bitbucket.org/b_c/jose4j/wiki/Home

这一个至少给了我标题信息，这是我能得到的最远的信息。

为了说明原因，有效载荷包含一个过期时间，在设备上，当令牌即将过期时，我应该提示用户重新输入凭据以获取新令牌。现在这看起来像是一种安全威胁，因为黑客可以操纵设备上的令牌，但服务器会检查令牌以确保其真实性，这就是为什么我不希望设备上的密钥，因为这可能会被黑客挖掘，并使整个应用程序易受攻击。

Answer 1

您可以使用jose4j的JWT consumer只进行解析，而不检查声明或签名。类似下面的内容将解析令牌，并将过期时间与当前时间进行比较，以查看它是否过期。

String jwt = "eyJhbGciOiJIUzI1NiJ9" +
        ".eyJzdWIiOiIxMjM0NTY3ODkwIiwiZXhwIjoxNDUzODE0NjA0LCJuYW1lIjoiSm9obiBEb2UifQ" +
        ".IXcDDLXEpGN9Po5C-Mz88jUCNYrHxu6TVJLavf0NgT8";

JwtConsumer consumer = new JwtConsumerBuilder()
        .setSkipAllValidators()
        .setDisableRequireSignature()
        .setSkipSignatureVerification()
        .build();
JwtClaims claims = consumer.processToClaims(jwt);
NumericDate expirationTime = claims.getExpirationTime();

if (NumericDate.now().isAfter(expirationTime))
{
    System.out.println("Token expired at " + expirationTime);
}
else
{
    System.out.println("Token is still good until " + expirationTime);
}

Answer 2

答案很简单，尽管在我看来应该在框架中。但是一个简单的无符号JWT仍然有2个必需的周期，但是在最后一个周期之后没有任何内容，所以我把我的JWT拆分为周期，并将第一个和第二个周期与周期合并，并在末尾加上一个周期。

String[] splitToken = result.Value.Content.AuthorizationJWTToken.split("\\.");
Jwt parsedToken = Jwts.parser().parse(splitToken[0] + "." + splitToken[1] + ".");

这是使用https://github.com/jwtk/jjwt库。

Answer 3

如果你想解析签名文本而不使用签名：

1-添加以下依赖项：

//JWT
compile 'io.jsonwebtoken:jjwt:0.7.0'

2-添加以下导入：

import io.jsonwebtoken.Claims;
import io.jsonwebtoken.Header;
import io.jsonwebtoken.Jwt;
import io.jsonwebtoken.Jwts;

3-使用下面的代码块：

//ref : https://github.com/jwtk/jjwt/issues/135
//you can put your signatured text instead of jws variable.
String jws = "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ";
int i = jws.lastIndexOf('.')
String withoutSignature = jws.substring(0, i+1);
Jwt<Header,Claims> untrusted = Jwts.parser().parseClaimsJwt(withoutSignature);
/*untrusted.getBody().getSubject();
  untrusted.getBody().getExpiration();
  etc.
*/