之前在Spring Security 实战干货系列中我使用了Spring官方提供的spring-security-jwt作为JWT的实现。目前该工具包已经不再维护，而且对于最新推出的Spring Security OAuth2 Client 和 Spring Authorization Server都不是特别的兼容。所以抽了两天时间结合这两个新依赖重新实现了JWT。

Nimbus库

在目前最新的Spring Security中默认使用了Nimbus的JOSE库nimbus-jose-jwt。这个库目前是JOSE最常用的类库之一，大部分的改造工作都是围绕这个库开展的。

改造的过程分享

流程上跟Spring Security实战干货大致是一样的。

加载证书

证书依然使用keytool 生成 2048长度的 RSA 密钥。

这里之前使用了比较“暴力”的方式直接读取KeyStore然后使用公私钥，本次将KeyStore加载的证书转变为JOSE规范中的JWK(Json Web Key)。

JWT

JWT在Spring Security中被定义为org.springframework.security.oauth2.jwt.Jwt对象，对于JWT的操作可以抽象为两个方面。

生成JWT

首先就是生成JWT。目前的Spring Security本身是不提供这个能力的，只有在孵化中的Spring Authorization Server提供了生成JWT的抽象接口JwtEncoder：

@FunctionalInterface
public interface JwtEncoder {
   Jwt encode(JoseHeader headers, JwtClaimsSet claims) throws JwtEncodingException;
}

JWT的Header和Claims也被相应地抽象为JoseHeader和JwtClaimsSet。

于是我使用Nimbus对JwtEncoder进行了实现，其实是搬运了Spring Authorization Server的实现。当然也不是原版照搬，只是保证了门面一致，这样后续如果这个项目成熟了之后我们就可以无缝兼容了。

解析JWT

既然有JwtEncoder必然有JwtDecoder。这个在Spring Security OAuth2 Client中是提供实现的，同样对其稍微加以改造。另外这个解码器不但负责将JWT字符串解析为JWT对象，它还承担了校验功能，这里有一个委托校验器DelegatingOAuth2TokenValidator，我们可以灵活定制来执行多个JWT校验策略。

Token对

我们都知道通常JWT中的Token都是成对出现的。之前只是简单用一个类来封装了accessToken和refreshToken的字符串形态。这次使用了spring ecurity oauth2 core提供的OAuth2AccessTokenResponse:

public final class OAuth2AccessTokenResponse {

   private OAuth2AccessToken accessToken;

   private OAuth2RefreshToken refreshToken;

   private Map<String, Object> additionalParameters;
}

这个类表达的内容更加丰富和灵活。对应的json：

{
  "accessToken": {
    "tokenValue": "eyJraWQiOiJmZWxvcmRjbiIsInR5cCI6IkpXVCIsImFsZyI6IlJTMjU2In0.eyJzdWIiOiJhbGwiLCJhdWQiOiJyb290IiwiaXNzIjoiaHR0cHM6XC9cL2ZlbG9yZC5jbiIsInNjb3BlcyI6WyJST0xFX0FETUlOIiwiUk9MRV9BUFAiXSwiZXhwIjoxNjE2ODM4NTg4LCJpYXQiOjE2MTY4MzQ5ODgsImp0aSI6IjBiYTUwZjFhLTI0N2YtNDJlYi05NzZiLTkyZWM5NDg2YjA2MCJ9.dwUK4ZgqhalKWu5AA8ZqaHjD2WPerhiF8lmybZGAorbncWdfVk7iAKUdRZunUekZmab_FsVpwprWIQpqSLtp6tz28sI71gO2StEeye5Vv4JRZKys68q2LGOAqMVJnBisEl211b5ASHSlP1qleU_TDxO_rgems76ZFD-kc1KmyelsoiBhmT3aD2_A_3fUmH7mV0jnC0rHauzOpS0AWnuPJaXbGPqrWotkQ_oqly47jipfNsPl_PUY1urng1wSx4QyblS8UgK-n5wJABhSN550WlwNLuC10ZckbhE5gazM0mD86mA_Xepe7LY5rjGNvO-Cz9k44TaURnTdSBdyy_EOiQ",
    "issuedAt": {
      "epochSecond": 1616834988,
      "nano": 891000000
    },
    "expiresAt": {
      "epochSecond": 1616838588,
      "nano": 891000000
    },
    "tokenType": {
      "value": "Bearer"
    },
    "scopes": [
      "ROLE_ADMIN",
      "ROLE_APP"
    ]
  },
  "refreshToken": {
    "tokenValue": "eyJraWQiOiJmZWxvcmRjbiIsInR5cCI6IkpXVCIsImFsZyI6IlJTMjU2In0.eyJzdWIiOiJhbGwiLCJhdWQiOiJyb290IiwiaXNzIjoiaHR0cHM6XC9cL2ZlbG9yZC5jbiIsInNjb3BlcyI6WyJST0xFX0FETUlOIiwiUk9MRV9BUFAiXSwiaWF0IjoxNjE2ODM0OTg4LCJqdGkiOiI3N2RhODk3NC0xMjM0LTQ5NzctOWU1MS1hOGY2NTdjMzA2NjAifQ.O9YYxkevkrTke7GbK2R5LGphnJ9vd07yFSwPs2gEZ94ObPkIs1wJ5gvlNOIlni_BYMNO-nMB8TiX0w-RQSwo-sbVLqeUHqv6NEXXmPJiWVmXTFVJf2b6lqW5Re7clXGvkFMw14ptAF6cpThDEE5XF4eCI8CDKKPWqNxY-8NvokwIY3NMXB1ofuHHRqjMyVUwNjOv6eaTJFTwebPy6Saem9kvaL_X1v9Drok6azbg5DSP1zKnbVazTaOs4aBZd5Firib3r_BGXdaJWAgJKfpP61__muVdujgkppMVU8fC9pqfnb6IqEaAOIZ69lrezA1K0QFinOhgcC2YZFxFoLL-IQ",
    "issuedAt": {
      "epochSecond": 1616834988,
      "nano": 891000000
    },
    "expiresAt": null
  },
  "additionalParameters": {}
}

总结

其它大致没有改变多少，尽可能保证了原来的味道，又能够兼容Spring Security未来的风格。在代码迭代的过程中，如何能够同时做到兼容和灵活？关键就在于是否制定了统一的入口抽象和出口抽象。如果你能够做到这一点，你的代码质量就会明显的提高很多。我是：码农小胖哥，多多关注，分享更多日常开发中的心得体会。

对应的DEMO可以通过公众号： 码农小胖哥 回复 newjwt 获取，尊重他人分享，和谐交流。