检查JWT过期时间而不抛出异常

1. 概述

JSON Web Token（JWT）是一种用于在Web上安全传输信息的JSON对象，由于其数字签名，信息可以被验证和信任。本教程将首先探讨在Java中验证JWT与解码JWT的区别，然后学习如何在不抛出异常的情况下检查JWT的有效期。

2. 解码与验证JWT之间的区别

在开始检查JWT有效期之前，我们先了解一下基础概念。

JWT通常以紧凑形式存在，是一个包含头部、载荷和签名的Base64编码字符串。任何人都可以轻易解码JWT查看内容。因此，为了信任一个令牌，我们必须验证JWT内的签名。

市面上有多种Java JWT库可用于创建和管理JWT。我们将使用Auth0的Java JWT库，它是一个易于使用的JWT创建和管理工具。

2.1. 依赖关系

要在项目中开始，我们需要将Auth0 Java JWT库的Maven依赖项添加到pom.xml文件中：

<dependency>
    <groupId>com.auth0</groupId>
    <artifactId>java-jwt</artifactId>
    <version>4.2.1</version>
</dependency>

接下来，我们来理解解码和验证JWT的区别。

2.2. 解码JWT

通过简单地对JWT的各个部分进行Base64解码，我们可以解码JWT。解码JWT只返回未验证签名的解码载荷，不推荐用于任何不可信的消息，仅用于查看JWT内容。

使用JWT.decode(String)方法解码JWT。 这个方法解析JWT并返回一个DecodedJWT实例。

DecodedJWT实例提供了方便的方法，我们可以使用这些方法获取JWT中的数据。如果JWT不是一个有效的Base64编码字符串，方法会抛出JWTDecodeException。

下面是解码JWT的代码示例：

try {
    DecodedJWT decodedJWT = JWT.decode(jwtString);
    return decodedJWT;
} catch (JWTDecodeException e) {
    // ...
}

获取DecodedJWT实例后，我们可以使用其各种getter方法获取解码数据。

例如，要获取令牌的过期时间，我们使用DecodedJWT.getExpiresAt()方法。此方法返回一个java.util.Date类型的实例，其中包含令牌的过期时间：

Date expiresAt = decodedJWT.getExpiresAt();

现在让我们看看JWT验证操作。

2.3. 验证JWT

验证JWT确保包含的签名有效。如果JWT包含其他信息，如有效期、签发者、接收者等，也会进行检查。

使用JWTVerifier.verify(String)方法验证JWT。 如果签名有效，验证操作也会返回一个DecodedJWT实例。只有当签名和所有声明都有效时，才会返回解码后的JWT。如果签名无效或任何声明验证失败，将抛出JWTVerificationException。

以下是验证JWT的代码：

try {
    DecodedJWT decodedJWT = verifier.verify(jwtString);
} catch (JWTVerificationException e) {
    // ...
}

从上述代码片段可以看出，verify()方法会在JWT无效时抛出异常。由于该方法在验证后还解码了令牌，所以提供了一种更安全的方式来解码令牌。而decode()方法则直接解码提供的JWT令牌。因此，为了在不抛出异常的情况下检查令牌的有效期，我们应该使用JWT.decode()方法。

3. 检查JWT过期

为了简单地读取JWT中的数据，我们可以解码JWT并解析数据。以下是检查JWT是否已过期的Java代码：

boolean isJWTExpired(DecodedJWT decodedJWT) {
    Date expiresAt = decodedJWT.getExpiresAt();
    return expiresAt.before(new Date());
}

正如前面所述，我们使用DecodedJWT.getExpiresAt()方法获取JWT的过期时间，然后将其与当前时间进行比较，以检查令牌是否已过期。

JWT.decode()方法和JWTVerifier.verify()方法都返回一个DecodedJWT实例。 区别在于，verify()方法还会检查签名的有效性，并在无效时抛出异常。因此，对于可信的消息，我们应仅使用decode()方法。 对于任何不可信的消息，始终应使用verify()方法，以确保JWT中的有效签名和其他声明。

4. 总结

本文首先探讨了JWT解码和验证操作的区别。接着，我们了解了如何在不抛出异常的情况下使用解码操作检查JWT的有效期。

如往常一样，所有示例的完整代码可以在GitHub上找到这里。

Persistence

REST

Security