在Play Framework 2.6中使用JWT身份验证

Question

我使用旧版本的指南使用JWT身份验证时遇到问题,但我想关注新的Play 2.6

根据官方文件,JWT现在在引擎盖下使用.

似乎有一种更简单的方法,而不是创建一个ActionBuilder和一堆其他类或导入第三方库,但我无法弄清楚我需要做什么.

谁能给我指导如何使用2.6创建JWT令牌/秘密？最好是Java,但我也可以通过Scala.

Answer 1

谁能给我关于如何使用 2.6 创建 JWT 令牌/秘密的指导？最好是 Java，但我也可以通过 Scala。

JWT 被烘焙到会话 cookie 中。您根本不需要为此做任何事情。Play 中没有用户可见的 JWT 标头，但您可以使用 JJWT 库https://github.com/jwtk/jjwt，Play在幕后使用它来创建您自己的 JWT 并使用它。

https://github.com/franzgranlund/play-java-jwt有一个示例项目它使用稍微不同的 JWT 库作为标头，但给出了想法。

主要要做的是验证您返回的 JWT 使用的是您发送的相同算法，即没有人向您发送 alg=NONE 或一些愚蠢的东西，并确保您使用的是体面的算法，即 HMAC-带有 AES-GCM 的 SHA256。

如果您对一般使用加密/签名感兴趣，https://github.com/playframework/play-scala-secure-session-example/ 中有一个示例应该会有所帮助。