在 Java 中生成 Token 的完整指南

概述

在 Java 开发中，Token（令牌）是用于身份验证和授权的常见机制。本文将介绍几种在 Java 中生成 Token 的常用方法，包括使用 Java JWT 库、Java 原生方式以及 Apache Commons Codecs 库。

什么是 JWT？

Java Web Token（JWT）是一种开放标准（RFC 7519），它定义了一种简洁的、自包含的方式，用于在各方之间作为 JSON 对象安全地传输信息。JWT 可以使用 HMAC 算法或 RSA 算法进行签名，以保证信息的完整性和可信性。

方法一：使用 Java JWT 库（com.auth0）

1. 添加依赖

在项目的 pom.xml 文件中添加以下依赖：

    com.auth0
    java-jwt
    3.18.1

2. 生成 Token

使用 JWT 库生成 Token 的示例代码如下：

import com.auth0.jwt.JWT;
import com.auth0.jwt.algorithms.Algorithm;

String secret = "your-secret-key"; // 用于签名的密钥
String issuer = "your-issuer"; // Token 的发行者
String subject = "your-subject"; // Token 的主题

// 生成 Token
String token = JWT.create()
    .withIssuer(issuer)
    .withSubject(subject)
    .sign(Algorithm.HMAC256(secret));

System.out.println("生成的 Token: " + token);

在这个示例中，我们使用了 HMAC256 算法来签名 Token，使用了一个密钥作为签名密钥。我们还指定了 Token 的发行者和主题。

3. 验证 Token

使用 JWT 库验证 Token 的示例代码如下：

import com.auth0.jwt.JWT;
import com.auth0.jwt.JWTVerifier;
import com.auth0.jwt.algorithms.Algorithm;
import com.auth0.jwt.exceptions.JWTVerificationException;

String secret = "your-secret-key"; // 用于签名的密钥
String issuer = "your-issuer"; // Token 的发行者
String subject = "your-subject"; // Token 的主题
String token = "your-token"; // 要验证的 Token

try {
    // 验证 Token
    JWTVerifier verifier = JWT.require(Algorithm.HMAC256(secret))
        .withIssuer(issuer)
        .withSubject(subject)
        .build();
    verifier.verify(token);
    System.out.println("Token 验证通过");
} catch (JWTVerificationException e) {
    System.out.println("Token 验证失败：" + e.getMessage());
}

在这个示例中，我们使用 JWTVerifier 对象来验证 Token，使用了与生成 Token 时相同的密钥、发行者和主题。如果验证通过，将输出"Token 验证通过"，否则将输出"Token 验证失败"及其原因。

方法二：使用 io.jsonwebtoken 库（JJWT）

1. 添加依赖

    io.jsonwebtoken
    jjwt
    0.9.1

2. 生成并验证 Token 的完整示例

import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;
import io.jsonwebtoken.Claims;
import java.util.Date;

public class JwtTokenGenerator {

    private static final String SECRET_KEY = "mySecretKey"; // 密钥
    private static final long EXPIRATION_TIME = 86400000; // 过期时间：24 小时

    // 生成 Token
    public static String generateToken(String subject) {
        Date now = new Date();
        Date expiration = new Date(now.getTime() + EXPIRATION_TIME);

        return Jwts.builder()
            .setSubject(subject)
            .setIssuedAt(now)
            .setExpiration(expiration)
            .signWith(SignatureAlgorithm.HS512, SECRET_KEY)
            .compact();
    }

    // 从 Token 中获取主题
    public static String getSubjectFromToken(String token) {
        Claims claims = Jwts.parser()
            .setSigningKey(SECRET_KEY)
            .parseClaimsJws(token)
            .getBody();
        return claims.getSubject();
    }

    // 验证 Token 是否有效
    public static boolean validateToken(String token) {
        try {
            Jwts.parser().setSigningKey(SECRET_KEY).parseClaimsJws(token);
            return true;
        } catch (Exception e) {
            return false;
        }
    }

    public static void main(String[] args) {
        // 生成 Token
        String token = generateToken("user123");
        System.out.println("生成的 Token: " + token);

        // 验证 Token
        boolean isValid = validateToken(token);
        System.out.println("Token 是否有效: " + isValid);

        // 获取主题
        String subject = getSubjectFromToken(token);
        System.out.println("Token 主题: " + subject);
    }
}

在上面的代码中，generateToken 方法接受一个 subject 参数，用于指定 Token 的主题。该方法首先获取当前时间和过期时间，然后使用 JWT 库的 Jwts.builder() 方法创建一个 JWT 构建器，设置主题、签发时间和过期时间，并使用 signWith 方法指定签名算法和密钥，最后调用 compact 方法生成 Token。

注意：上面的示例代码中使用的是 HMAC-SHA512 算法进行签名，密钥为 mySecretKey。在实际应用中，应该使用更长的随机字符串作为密钥，并根据实际需求选择合适的签名算法。

方法三：使用 Java 原生 UUID

如果你只需要一个简单的、唯一的 Token，可以使用 Java 原生库中的 java.util.UUID 类生成全局唯一标识符（UUID）。使用方法如下：

import java.util.UUID;

UUID uuid = UUID.randomUUID();
String token = uuid.toString();
System.out.println("生成的 Token: " + token);
// 输出示例: 550e8400-e29b-41d4-a716-446655440000

这种方法的优点是简单、无需额外依赖，缺点是没有签名机制，无法验证 Token 的合法性。

方法四：使用 Apache Commons Codecs + SecureRandom

另一种方法是使用 Apache Commons Codecs 库中的 Base64 编码对随机字节进行编码生成 Token：

import org.apache.commons.codec.binary.Base64;
import java.security.SecureRandom;

SecureRandom random = new SecureRandom();
byte[] bytes = new byte[24];
random.nextBytes(bytes);
String token = Base64.encodeBase64URLSafeString(bytes);
System.out.println("生成的 Token: " + token);

总结

在 Java 中生成 Token 的方法有很多种，具体选择取决于您的需求：

• JWT 方式：适合需要身份验证和授权的场景，支持签名验证和过期时间设置。
• UUID 方式：适合简单的唯一标识符场景，实现简单但无安全验证。
• SecureRandom + Base64：适合需要自定义长度和安全随机性的场景。

对于大多数 Web 应用的身份验证需求，推荐使用 JWT 方式，因为它提供了签名验证机制，可以有效防止 Token 被篡改。