6

我implementation group: 'io.jsonwebtoken', name: 'jjwt-api', version: '0.10.6'用作依赖项。

我想创建一个 JWT 令牌，如下所示：

@Value("${jwt.token.secret}")
private Key secret;

JwtToken.builder().value(Jwts.builder()
                .setClaims(createClaims(account))
                .setSubject(subject.toString())
                .setIssuedAt(Date.from(createdDateTime))
                .setExpiration(Date.from(expirationDateTime))
                .signWith(secret)
                .compact()).expiration(expirationDateTime.toString()).build()

application.properties如上所示，我曾经在和引用该密钥中提供一个字符串，但不推荐将字符串作为密钥提供。我应该如何创建密钥？

4

2 回答 2

7

您需要将密钥字符串转换为 JavaKey实例。

您的密钥字符串是 Base64 编码的吗？如果是这样，请执行以下操作：

@Value("${jwt.token.secret}")
private String secret;

private Key getSigningKey() {
  byte[] keyBytes = Decoders.BASE64.decode(this.secret);
  return Keys.hmacShaKeyFor(keyBytes);
}

JwtToken.builder().value(Jwts.builder()
                .setClaims(createClaims(account))
                .setSubject(subject.toString())
                .setIssuedAt(Date.from(createdDateTime))
                .setExpiration(Date.from(expirationDateTime))
                .signWith(getSigningKey())
                .compact()).expiration(expirationDateTime.toString()).build()

如果您的密钥不是 base64 编码的（它可能应该是，因为如果您使用原始密码，例如，您的密钥可能不正确或格式不正确），您可以通过以下方式执行此操作：

private Key getSigningKey() {
  byte[] keyBytes = this.secret.getBytes(StandardCharsets.UTF_8);
  return Keys.hmacShaKeyFor(keyBytes);
}

但是，通常不推荐第二个示例，因为它可能意味着您的密钥格式不正确。格式良好的安全随机密钥不是人类可读的，因此要将其存储为字符串，通常首先对密钥字节进行 base64 编码。

从文档https://github.com/jwtk/jjwt#jws-key-create：

如果要生成足够强的 SecretKey 以用于 JWT HMAC-SHA 算法，请使用Keys.secretKeyFor(SignatureAlgorithm)辅助方法：

SecretKey key = Keys.secretKeyFor(SignatureAlgorithm.HS256); //or HS384 or HS512

在底层，JJWT 使用 JCA 提供者的 KeyGenerator 来为给定算法创建具有正确最小长度的安全随机密钥。

如果你有一个现有的 HMAC SHA SecretKey 的编码字节数组，你可以使用Keys.hmacShaKeyForhelper 方法。例如：

byte[] keyBytes = getSigningKeyFromApplicationConfiguration();
SecretKey key = Keys.hmacShaKeyFor(keyBytes);
于 2019-04-10T20:21:53.573 回答
0

请参阅我对类似问题的回答。

https://stackoverflow.com/a/71149603/1808417

//Generating a safe HS256 Secret key
SecretKey key = Keys.secretKeyFor(SignatureAlgorithm.HS256);
String secretString = Encoders.BASE64.encode(key.getEncoded());
logger.info("Secret key: " + secretString);
于 2022-02-16T21:41:40.830 回答