4

因此，我在网上和 StackOverflow 上对此进行了一些研究，并尝试了许多我发现的多个建议。问题是我正在登录我们运行良好的 Oauth2 服务之一。我得到了一个 Oath2 JWT 令牌。我知道这是 Base64 编码的，我可以将令牌放入 jwt.io 和 www.base64decode.org 并且这两个站点都正确解析了令牌。

我正在使用 Java 8 Base64 工具，代码如下所示：

public String getTokenProperty(String token, String propertyName)
{
    byte[] bytes = Base64.getUrlDecoder().decode(token);
    String decodedString = new String(bytes, StandardCharsets.UTF_8);
    System.out.println("Decoded: " + decodedString);
    return (new JSONObject(decodedString)).getString(propertyName);
}

解码器线上出现的错误如下：

java.lang.IllegalArgumentException: Illegal base64 character 2e

我用我的 Oauth2 服务的令牌尝试了这个，我从 Syncope 获得了一个令牌，我从 Auth0 获得了一个令牌......所有返回的都是 JWT Base64 编码的令牌。使用来自这些不同服务器的所有这些令牌，我得到相同的错误。

我想使用标准的 Java 8 Base64，但我认为我可能需要使用外部第三方 Base64 解码器。

任何帮助都会很棒。谢谢！

令牌如下：

eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiIsImtpZCI6Ik1qSTRRVFEwT1VRNU9VSXlSVEV6TlRBd05UVXpSVVExTlVOR05FVkVORGRDTlRnM016VXdRZyJ9.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.St7097L1ZAlBWcAPrie-8CGV2F3Fr8uNYpSDVKSPVPF4zBZrmm62_UAj7Ssux8AjUy0LhjiF3kLpNph2L7yrpUREw6TyGJwQasfdVtM5VzRYUcy-fOGyRSqPQorbzxJQZzs2pyDJm-2hMQ0McJ37ubKIWrHFD5McMedN6THK7g5TExX47XCRPcOuCEWm3bf3zdWF2LEGhCw_c-lcZDwlb4ePkO721XjSWtrXEBvxc8scFNaHDt7VOnrSze4XK_LO8eE8bHRq6qUrWf1csYucK--aHazBsvfdl-6QDRk-tOBM-LdXJMT7H8Ih6trxVmZofQjr2dQ4j_3DTVoU3eLdog

更新：

我从 java,util.Base64 切换到 org.apache.commons.codec.binary.Base64 这似乎有点工作，我现在没有收到错误。 

String decodedString = new String(bytes, StandardCharsets.UTF_8);

给我一个标题、有效负载和签名数据的字符串。所以，当我这样做时：

JSONObject jsonObject = new JSONObject(decodedString);
    System.out.println("getTokenProperty: jsonObject = " + jsonObject.toString());

我只取回标头数据，而我真正需要的是有效载荷。

作为记录......我从“概念证明”项目继承的代码是：

public static String getTokenProperty(String token, String propertyName)
{
    return (new JSONObject(new String(Base64.getDecoder().decode(token)))).getString(propertyName);
}

并且根本没有单元测试。所以，当我去单元测试它时，它当然完全坏了。所以，现在我对如何解析这个token有了更好的理解，我会记住这个教训很长时间。

非常感谢！

4

2 回答 2

17

它不解析的原因是因为您正在尝试对整个令牌进行 Base64URLDecode ..但是您必须解码由点“。”分隔的令牌的部分。字符（十六进制的 0x2e，十进制的 46，html 中的 . -- ASCII/UTF8）..

例子：

public static void decodeTokenParts(String token)
{
    String[] parts = token.split("\\.", 0);

    for (String part : parts) {
        byte[] bytes = Base64.getUrlDecoder().decode(part);
        String decodedString = new String(bytes, StandardCharsets.UTF_8);

        System.out.println("Decoded: " + decodedString);
    }
}

这是因为 JWT 令牌由以下部分组成：

Base64URLEncode({HeaderJSON}) + "." + Base64URLEncode({PayloadJSON}) + "." + Signature例如..

所以要解码它..你需要用“。”来分割它。并解码每个部分。注意：签名通常是二进制编码为base64，所以一旦你解码它，不要尝试打印它..它会打印字节。您需要验证签名。

For example, if you go to: https://jwt.io/#debugger-io?token=eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

您将看到每个“部分”是如何编码的。它是彩色编码的。

于 2019-05-31T18:31:20.510 回答
2

我使用这个库https://mvnrepository.com/artifact/com.auth0/java-jwt/3.12.0进行解码以获取主题（userId），因此：JWT.decode(token).getSubject()

于 2021-01-19T15:13:05.857 回答