JWT: structuur, aanmaken en verifiëren
Decodeer de JWT-structuur handmatig, maak ondertekende tokens met een secret en verifieer claims zonder frameworks.
JWT: structuur, aanmaken en verifiëren is een gratis Java Academy-les op CoddyKit. Dit is les 4 van 4. Je kunt de volledige les hieronder gratis lezen en daarna in de browser praktisch oefenen met een ingebouwde code-editor en een AI-begeleider die 24/7 beschikbaar is. Deze les maakt deel uit van het leertraject Java Academy. Je voortgang wordt gesynchroniseerd op het web en in de CoddyKit-app. De cursus Java Academy bevat in totaal 4 lessen.
Wat is een JWT?
JSON Web Token (JWT) is een compact, URL-veilig tokenformaat voor het verzenden van claims tussen partijen. Een JWT wordt ondertekend (en eventueel versleuteld). Het token is zelfstandig — je hoeft geen database-opzoeking uit te voeren om claims te controleren.
JWT-structuur: Header.Payload.Signature
Een JWT bestaat uit drie met Base64URL gecodeerde delen, gescheiden door punten: header.payload.signature. De header specificeert het algoritme. De payload bevat claims. De handtekening controleert de integriteit.
// Example JWT:
// eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9 <- header
// .eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkFsaWNlIn0 <- payload
// .SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c <- signatureGedecodeerde header en payload
Decodeer elk deel met Base64URL om de JSON te bekijken. De payload bevat "claims" — standaardclaims zijn: sub (onderwerp), iss (uitgever), exp (vervaltijdstip) en iat (uitgegeven op).
// Header:
{ "alg": "HS256", "typ": "JWT" }
// Payload:
{ "sub": "user-42", "name": "Alice", "role": "ADMIN",
"iat": 1716000000, "exp": 1716003600 }Handmatig een JWT maken (HS256)
Bouw de JSON voor de header en payload, codeer beide met Base64URL, voeg ze samen met een punt, bereken vervolgens de HMAC-SHA256 van header.payload en voeg die toe als handtekening.
String header = Base64.getUrlEncoder().withoutPadding()
.encodeToString("{\"alg\":\"HS256\",\"typ\":\"JWT\"}".getBytes());
String payload = Base64.getUrlEncoder().withoutPadding()
.encodeToString("{\"sub\":\"user-42\",\"exp\":9999999999}".getBytes());
String sigInput = header + "." + payload;
byte[] sig = computeHmac(secretKey, sigInput);
String jwt = sigInput + "." + Base64.getUrlEncoder().withoutPadding().encodeToString(sig);Handmatig een JWT controleren
Splits op punten, decodeer de header en payload, bereken de HMAC opnieuw over header.payload, vergelijk deze met de handtekening en controleer of exp in de toekomst ligt.
String[] parts = jwt.split("\\.");
String sigInput = parts[0] + "." + parts[1];
byte[] expectedSig = computeHmac(secretKey, sigInput);
byte[] actualSig = Base64.getUrlDecoder().decode(parts[2]);
if (!MessageDigest.isEqual(expectedSig, actualSig)) throw new SecurityException("Invalid signature");
// Decode payload and check exp:
String payloadJson = new String(Base64.getUrlDecoder().decode(parts[1]));
// parse JSON and check exp > nowDe java-jwt-bibliotheek gebruiken (Auth0)
De bibliotheek com.auth0:java-jwt vereenvoudigt het maken en controleren van JWT's met een vloeiende API.
// Create:
Algorithm alg = Algorithm.HMAC256(secretKey);
String token = JWT.create()
.withSubject("user-42")
.withClaim("role", "ADMIN")
.withExpiresAt(Instant.now().plusSeconds(3600))
.sign(alg);
// Verify:
JWTVerifier verifier = JWT.require(alg).withIssuer("my-service").build();
DecodedJWT decoded = verifier.verify(token);
System.out.println(decoded.getSubject());HS256 versus RS256
HS256 gebruikt een gedeelde symmetrische sleutel — eenvoudig, maar zowel de uitgever als de verificateur moeten elkaar met de sleutel vertrouwen. RS256 gebruikt RSA: ondertekenen met een privésleutel en controleren met een openbare sleutel — geschikt voor architecturen met meerdere diensten, waarin elke dienst kan controleren zonder de ondertekeningssleutel te kennen.
JWT's opslaan: HttpOnly-cookies versus localStorage
Sla JWT's op in HttpOnly-cookies (niet toegankelijk vanuit JS — voorkomt diefstal via XSS) met de vlaggen Secure en SameSite=Strict. Vermijd localStorage — XSS-aanvallen kunnen de inhoud lezen.
// Set JWT as HttpOnly cookie in Spring:
ResponseCookie cookie = ResponseCookie.from("jwt", token)
.httpOnly(true).secure(true).sameSite("Strict")
.path("/").maxAge(3600).build();
response.addHeader(HttpHeaders.SET_COOKIE, cookie.toString());Vernieuwingstokens
JWT's hebben een korte vervaltijd (15 minuten). Vernieuwingstokens (ondoorzichtig en aan serverzijde opgeslagen) hebben een langere vervaltijd. De client wisselt een vernieuwingstoken in voor een nieuwe JWT zonder opnieuw te authenticeren.
De uitdaging van JWT-intrekking
JWT's zijn stateloos — er is geen ingebouwde intrekking. Gebruik een korte vervaltijd en een blokkeerlijst met ingetrokken JWT-ID's (de claim jti) in Redis om uitloggen vóór het verlopen te ondersteunen.
// On logout, add the jti to a Redis blocklist with TTL = token expiry:
redis.set("revoked:" + jti, "1", ex, 3600);
// On verify, check blocklist:
if (redis.exists("revoked:" + decoded.getId())) throw new SecurityException("Token revoked");JWT-integratie met Spring Security
Implementeer in Spring Security JwtAuthenticationFilter extends OncePerRequestFilter om bij elk verzoek de JWT uit te lezen, te controleren en de SecurityContext in te stellen.
String token = request.getHeader("Authorization").replace("Bearer ","");
DecodedJWT decoded = verifier.verify(token);
String userId = decoded.getSubject();
UsernamePasswordAuthenticationToken auth =
new UsernamePasswordAuthenticationToken(userId, null, authorities);
SecurityContextHolder.getContext().setAuthentication(auth);Korte controle
Wat is het belangrijkste structurele verschil tussen HS256- en RS256-ondertekening van JWT's?
Samenvatting
JWT = header.payload.signature (Base64URL). Onderteken met HMAC (HS256) of RSA (RS256). Controleer de handtekening en de claim exp. Sla JWT's op in HttpOnly-cookies. Gebruik een korte vervaltijd en vernieuwingstokens. Trek tokens in via een jti-blokkkeerlijst in Redis.
Leer Java met een AI-tutor — gratis
Schrijf echte code en voer die uit in je browser, krijg direct hulp van een AI-tutor die 24/7 beschikbaar is en ga verder waar je gebleven bent op het web of in de app.
- Cursussen
- 104
- Lessen
- 374
Veelgestelde vragen
Is de les “JWT: structuur, aanmaken en verifiëren” gratis?
Ja — de volledige tekst van “JWT: structuur, aanmaken en verifiëren” kun je hier gratis op het web lezen. Als je interactief wilt oefenen met een ingebouwde code-editor en een AI-begeleider die 24/7 beschikbaar is, en de rest van de cursus Java Academy wilt ontgrendelen, kun je upgraden naar CoddyKit PRO. De cursus Java Academy bevat in totaal 4 lessen.
Wat leer ik in “JWT: structuur, aanmaken en verifiëren”?
Decodeer de JWT-structuur handmatig, maak ondertekende tokens met een secret en verifieer claims zonder frameworks. Je oefent met Java Academy door code rechtstreeks in de browser uit te voeren. Een AI-begeleider die 24/7 beschikbaar is beantwoordt je vragen terwijl je de les doorwerkt.
Heb ik ervaring nodig om met Java Academy te beginnen?
Ervaring vooraf is niet nodig. Java Academy op CoddyKit is opgebouwd voor beginners tot gevorderden, zodat je hier of bij het begin kunt starten en in je eigen tempo kunt leren. Dit is les 4 van 4.
Hoe lang duurt de les “JWT: structuur, aanmaken en verifiëren”?
De meeste lessen van CoddyKit duren ongeveer 5–10 minuten. Elke les is kort en interactief, zodat je gestaag vooruitgaat en op het web en in de app precies verdergaat waar je was gebleven.
Kan ik code schrijven en uitvoeren in deze les over Java Academy?
Ja. Elke les over Java Academy bevat een ingebouwde code-editor, zodat je rechtstreeks in je browser echte code kunt schrijven en uitvoeren en direct feedback van AI krijgt — lokale installatie is niet nodig.
Alle lessen in deze cursus
- Cryptografische hashing met MessageDigest
- AES-symmetrische encryptie
- HMAC-SHA256 voor berichtintegriteit
- JWT: structuur, aanmaken en verifiëren