JWT生成的token——中间部分Payload的坑

package token;

import com.shop.result.CommonResult;
import io.jsonwebtoken.*;
import org.apache.tomcat.util.http.MimeHeaders;

import javax.servlet.http.HttpServletRequest;
import java.lang.reflect.Field;
import java.util.Date;
import java.util.HashMap;
import java.util.Map;
import java.util.UUID;

public class JwtUtil {

    public static final String TOKEN_SECTURE_KEY = "XXXXX";

    /**
     * 自定义密钥
     */
    private static final String ASSETS_SECRET_KEY = "XXXXX";

    /**
     * 用户登录成功后生成Jwt
     * 使用Hs256算法  私匙使用用户密码
     *
     * @param ttlMillis jwt过期时间
     * @return
     */
    public static String createJWT(long ttlMillis, Map<String, Object> paramMap) {
        //指定签名的时候使用的签名算法，也就是header那部分，jjwt已经将这部分内容封装好了。
        SignatureAlgorithm signatureAlgorithm = SignatureAlgorithm.HS256;

        //生成JWT的时间
        long nowMillis = System.currentTimeMillis();
        Date now = new Date(nowMillis);

        //创建payload的私有声明（根据特定的业务需要添加，如果要拿这个做验证，一般是需要和jwt的接收方提前沟通好验证方式的）
        Map<String, Object> claims = new HashMap<String, Object>();
        claims.put("id", paramMap.get("id").toString());

        //生成签发人
        String subject = paramMap.get("id").toString();

        //下面就是在为payload添加各种标准声明和私有声明了
        //这里其实就是new一个JwtBuilder，设置jwt的body
        JwtBuilder builder = Jwts.builder()
                //如果有私有声明，一定要先设置这个自己创建的私有的声明，这个是给builder的claim赋值，一旦写在标准的声明赋值之后，就是覆盖了那些标准的声明的
                .setClaims(claims)
                //设置jti(JWT ID)：是JWT的唯一标识，根据业务需要，这个可以设置为一个不重复的值，主要用来作为一次性token,从而回避重复攻击。
                .setId(UUID.randomUUID().toString())
                //iat: jwt的签发时间
                .setIssuedAt(now)
                //代表这个JWT的主体，即它的所有人，这个是一个json格式的字符串，可以存放什么userid，roldid之类的，作为什么用户的唯一标志。
                .setSubject(subject)
                //设置签名使用的签名算法和签名使用的秘钥
                .signWith(signatureAlgorithm, TOKEN_SECTURE_KEY);
        if (ttlMillis >= 0) {
            long expMillis = nowMillis + ttlMillis;
            Date exp = new Date(expMillis);
            //设置过期时间
            builder.setExpiration(exp);
        }
        //这里为了避免中间一段base64被解析出来，这里进行aes二次加密
        String token = builder.compact();
        //返回二次加密后的token
        return AesUtil.encrypt(token, ASSETS_SECRET_KEY);
    }


    /**
     * 校验token
     * 
     *
     * @param token
     * @return
     */
    public static CommonResult isVerify(HttpServletRequest httpServletRequest, String token) {
        try {
            //先进行二次加密解密获取原来token，后面继续解密
            String aesToken = AesUtil.decrypt(token, ASSETS_SECRET_KEY);

            //根据二次解密token进行后续操作
            //指定签名的时候使用的签名算法，也就是header那部分，jwt已经将这部分内容封装好了。
            SignatureAlgorithm signatureAlgorithm = SignatureAlgorithm.HS256;
            //得到DefaultJwtParser
            Claims claims = Jwts.parser()
                    //设置签名的秘钥
                    .setSigningKey(TOKEN_SECTURE_KEY)
                    //设置需要解析的jwt
                    .parseClaimsJws(aesToken).getBody();

            //在验签成功后，使用反射，将解密后的token设置到request中的的header中去
            reflectSetTokenValue(httpServletRequest,"token",aesToken);

            return CommonResult.success(true);
        } catch (SignatureException | MalformedJwtException e) {
            return CommonResult.failedToken();
        } catch (ExpiredJwtException e) {
            return CommonResult.failedToken();
        }

    }

   /**
     * 修改header信息，将修改后的token的key-value键值对儿加入到header中
     * @param request
     * @param key token名称
     * @param value 解密后的JWT格式token
     */
    private static void reflectSetTokenValue(HttpServletRequest request,String key,String value){
        Class<? extends HttpServletRequest> requestClass = request.getClass();
        try {
            Field request1 = requestClass.getDeclaredField("request");
            request1.setAccessible(true);
            Object o = request1.get(request);
            Field coyoteRequest = o.getClass().getDeclaredField("coyoteRequest");
            coyoteRequest.setAccessible(true);
            Object o1 = coyoteRequest.get(o);
            Field headers = o1.getClass().getDeclaredField("headers");
            headers.setAccessible(true);
            MimeHeaders o2 = (MimeHeaders)headers.get(o1);
            //将AES格式的token替换成JWT格式token
            o2.getValue(key).setString(value);
        } catch (Exception e) {
            e.printStackTrace();
        }
    }

}