Auth0 JWT与Java

Question

我使用这个库Aut0JavaJWT实现了JSON Web令牌，用于使用Spring框架的REST API。

这是密码

import com.auth0.jwt.JWT;
import com.auth0.jwt.JWTVerifier;
import com.auth0.jwt.algorithms.Algorithm;
import com.auth0.jwt.exceptions.JWTCreationException;
import com.auth0.jwt.exceptions.JWTDecodeException;
import com.auth0.jwt.interfaces.DecodedJWT;
import java.io.UnsupportedEncodingException;

public class JWTutils {
    private final static String secret = "fj32Jfv02Mq33g0f8ioDkw";

    public static String createToken(String email)
    {
        try {
            return JWT.create()
                    .withIssuer("auth0")
                    .withClaim("email", email)
                    .sign(Algorithm.HMAC256(secret));
        } catch (JWTCreationException exception){
            throw new RuntimeException("You need to enable Algorithm.HMAC256");
        } catch (UnsupportedEncodingException e) {
            throw new RuntimeException(e.getMessage());
        }
    }

    public static String getEmailInToken(String token)
    {
        try {
            JWTVerifier verifier = JWT.require(Algorithm.HMAC256(secret))
                    .withIssuer("auth0")
                    .build();
            DecodedJWT jwt = verifier.verify(token);
            return jwt.getClaim("email").asString();
        } catch (JWTDecodeException exception){
            return null;
        } catch (UnsupportedEncodingException e) {
            return null;
        }
    }
}

只要我使用HTTPS，我的JWT安全吗？我应该使用有效期吗？

Answer 1

对

JWT是在客户端的计算机中放入加密的东西（比如cookie），然后它就是api的票据。（我们通常在OAuth中使用jwt）

您可以确保客户端计算机中的数据没有被修改。那么它是小型分布式会话管理的绝佳选择。

我应该使用有效期吗？

是的，特别是对于会话管理。您不希望一个用户永远登录，也许另一个用户能够窃取他的会话。这个令牌现在是他的用户名

安全吗？！

安全是有限制的，一个重要的限制是时间。每一个密码都是可破解的，但在它的时间里。你最好偶尔改变一下你的秘密。

虽然你的代码看起来很安全，但黑客还可以在许多其他情况下侵入你的系统并获取你的秘密。你也应该意识到这一点。代码的所有部分，包括系统，都必须具有可接受的安全级别。记得：

链条的强度取决于它最薄弱的一环