使用Javalin结合Auth0获取JWT令牌用户数据及验证当前用户

1. 添加必要依赖 #

先引入Javalin的JWT插件和Auth0的Java JWT库，用于令牌解析与验证。如果使用Maven，在pom.xml中添加：

<!-- Javalin JWT 插件 -->
<dependency>
    <groupId>io.javalin</groupId>
    <artifactId>javalin-jwt</artifactId>
    <version>5.6.3</version> <!-- 替换为最新稳定版 -->
</dependency>
<!-- Auth0 JWT 核心库 -->
<dependency>
    <groupId>com.auth0</groupId>
    <artifactId>java-jwt</artifactId>
    <version>4.4.0</version>
</dependency>

2. 配置JWT验证逻辑 #

从Auth0控制台获取两个关键信息：你的Auth0域名（如https://your-domain.auth0.com/）和公钥（在应用的Advanced Settings > Certificates页面下载），然后配置Javalin的JWT验证规则：

import io.javalin.Javalin;
import io.javalin.http.Context;
import io.javalin.jwt.JwtAccessManager;
import io.javalin.jwt.JwtPlugin;
import io.javalin.jwt.JwtProvider;
import com.auth0.jwt.JWT;
import com.auth0.jwt.algorithms.Algorithm;
import com.auth0.jwt.interfaces.DecodedJWT;
import java.security.KeyFactory;
import java.security.interfaces.RSAPublicKey;
import java.security.spec.X509EncodedKeySpec;
import java.util.Base64;
import java.util.Map;

public class AuthSetup {
    public static void main(String[] args) {
        // 替换为你的Auth0配置
        String auth0Domain = "https://your-auth0-domain.auth0.com/";
        String auth0PublicKey = "-----BEGIN PUBLIC KEY-----\nYOUR_AUTH0_PUBLIC_KEY\n-----END PUBLIC KEY-----";

        // 初始化RSA验证算法（Auth0默认用RSA256签名）
        RSAPublicKey publicKey = null;
        try {
            String cleanPublicKey = auth0PublicKey.replaceAll("\\n", "")
                    .replace("-----BEGIN PUBLIC KEY-----", "")
                    .replace("-----END PUBLIC KEY-----", "");
            publicKey = (RSAPublicKey) KeyFactory.getInstance("RSA")
                    .generatePublic(new X509EncodedKeySpec(Base64.getDecoder().decode(cleanPublicKey)));
        } catch (Exception e) {
            e.printStackTrace();
        }
        Algorithm algorithm = Algorithm.RSA256(publicKey, null);

        // 实现JwtProvider：从请求中提取并解码令牌
        JwtProvider<DecodedJWT> jwtProvider = new JwtProvider<>() {
            @Override
            public DecodedJWT resolve(Context ctx) {
                String authHeader = ctx.header("Authorization");
                if (authHeader != null && authHeader.startsWith("Bearer ")) {
                    return JWT.decode(authHeader.substring(7)); // 去掉"Bearer "前缀
                }
                return null;
            }

            @Override
            public void verify(DecodedJWT decodedJWT) throws Exception {
                // 验证令牌签名、发行方、过期时间等
                JWT.require(algorithm)
                        .withIssuer(auth0Domain) // 确保令牌来自你的Auth0实例
                        .build()
                        .verify(decodedJWT);
            }
        };

        // 实现JwtAccessManager：处理验证结果
        JwtAccessManager accessManager = (handler, ctx, decodedJWT) -> {
            if (decodedJWT == null) {
                ctx.status(401).result("未提供有效认证令牌");
                return;
            }
            // 将解码后的令牌存入上下文，供后续路由使用
            ctx.attribute("authJwt", decodedJWT);
            handler.handle(ctx); // 验证通过，继续执行路由逻辑
        };

        // 注册JWT插件到Javalin
        Javalin app = Javalin.create(config -> {
            config.registerPlugin(new JwtPlugin<>(jwtProvider, accessManager));
        });

        // 示例：受保护路由，提取并返回用户数据
        app.get("/api/me", ctx -> {
            DecodedJWT jwt = ctx.attribute("authJwt");
            // 从JWT Claims中提取用户信息
            String userId = jwt.getClaim("sub").asString(); // Auth0用户唯一ID
            String userName = jwt.getClaim("name").asString();
            String userEmail = jwt.getClaim("email").asString();
            boolean isEmailVerified = jwt.getClaim("email_verified").asBoolean();

            ctx.json(Map.of(
                    "userId", userId,
                    "name", userName,
                    "email", userEmail,
                    "emailVerified", isEmailVerified
            ));
        });

        app.start(8080);
    }
}

3. 关键说明 #

• 令牌提取：从Authorization请求头中提取Bearer格式的令牌，去掉前缀后解码。
• 验证规则：JWT.require()会自动验证令牌的过期时间、签名有效性，指定issuer可确保令牌来自你的Auth0实例。
• 用户数据提取：Auth0的JWT包含标准Claims，常用的有：
  • sub：用户唯一标识符（格式为auth0|xxxxxx）
  • name：用户全名
  • email：用户邮箱
  • email_verified：邮箱是否已验证
  • 若配置了自定义Claims，可通过jwt.getClaim("your-custom-claim").asXXX()提取。

4. 额外优化 #

• 将Auth0配置（域名、公钥）抽为环境变量，避免硬编码。
• 针对需要角色权限的路由，可在JwtAccessManager中从JWT的roles Claim提取角色，判断用户是否有权限访问。

内容的提问来源于stack exchange，提问作者Karen Poghosyan