Spring Boot Security 整合 JWT 实现无状态的分布式API接口

简介

JSON Web Token（缩写 JWT）是目前最流行的跨域认证解决方案。JSON Web Token 入门教程 - 阮一峰，这篇文章可以帮你了解JWT的概念。本文重点讲解Spring Boot 结合 jwt ，来实现前后端分离中，接口的安全调用。

快速上手

之前的文章已经对 Spring Security 进行了讲解，这一节对涉及到 Spring Security 的配置不详细讲解。若不了解 Spring Security 先移步到 Spring Boot Security 详解。

建表

DROP TABLE IF EXISTS `user`;

DROP TABLE IF EXISTS `role`;

DROP TABLE IF EXISTS `user_role`;

DROP TABLE IF EXISTS `role_permission`;

DROP TABLE IF EXISTS `permission`;

CREATE TABLE `user` (

`id` bigint(11) NOT NULL AUTO_INCREMENT,

`username` varchar(255) NOT NULL,

`password` varchar(255) NOT NULL,

PRIMARY KEY (`id`)

);

CREATE TABLE `role` (

`id` bigint(11) NOT NULL AUTO_INCREMENT,

`name` varchar(255) NOT NULL,

PRIMARY KEY (`id`)

);

CREATE TABLE `user_role` (

`user_id` bigint(11) NOT NULL,

`role_id` bigint(11) NOT NULL

);

CREATE TABLE `role_permission` (

`role_id` bigint(11) NOT NULL,

`permission_id` bigint(11) NOT NULL

);

CREATE TABLE `permission` (

`id` bigint(11) NOT NULL AUTO_INCREMENT,

`url` varchar(255) NOT NULL,

`name` varchar(255) NOT NULL,

`description` varchar(255) NULL,

`pid` bigint(11) NOT NULL,

PRIMARY KEY (`id`)

);

INSERT INTO user (id, username, password) VALUES (1,'user','e10adc3949ba59abbe56e057f20f883e');

INSERT INTO user (id, username , password) VALUES (2,'admin','e10adc3949ba59abbe56e057f20f883e');

INSERT INTO role (id, name) VALUES (1,'USER');

INSERT INTO role (id, name) VALUES (2,'ADMIN');

INSERT INTO permission (id, url, name, pid) VALUES (1,'/user/hi','',0);

INSERT INTO permission (id, url, name, pid) VALUES (2,'/admin/hi','',0);

INSERT INTO user_role (user_id, role_id) VALUES (1, 1);

INSERT INTO user_role (user_id, role_id) VALUES (2, 1);

INSERT INTO user_role (user_id, role_id) VALUES (2, 2);

INSERT INTO role_permission (role_id, permission_id) VALUES (1, 1);

INSERT INTO role_permission (role_id, permission_id) VALUES (2, 1);

INSERT INTO role_permission (role_id, permission_id) VALUES (2, 2);

项目结构

resources

|___application.yml

java

|___com

| |____gf

| | |____SpringbootJwtApplication.java

| | |____config

| | | |____.DS_Store

| | | |____SecurityConfig.java

| | | |____MyFilterSecurityInterceptor.java

| | | |____MyInvocationSecurityMetadataSourceService.java

| | | |____MyAccessDecisionManager.java

| | |____entity

| | | |____User.java

| | | |____RolePermisson.java

| | | |____Role.java

| | |____mapper

| | | |____PermissionMapper.java

| | | |____UserMapper.java

| | | |____RoleMapper.java

| | |____utils

| | | |____JwtTokenUtil.java

| | |____controller

| | | |____AuthController.java

| | |____filter

| | | |____JwtTokenFilter.java

| | |____service

| | | |____impl

| | | | |____AuthServiceImpl.java

| | | | |____UserDetailsServiceImpl.java

| | | |____AuthService.java

关键代码

pom.xml

<dependency>

    <groupId>org.springframework.boot</groupId>

    <artifactId>spring-boot-starter-web</artifactId>

</dependency>

<dependency>

    <groupId>org.springframework.boot</groupId>

    <artifactId>spring-boot-starter-security</artifactId>

</dependency>

<dependency>

    <groupId>io.jsonwebtoken</groupId>

    <artifactId>jjwt</artifactId>

    <version>0.9.0</version>

</dependency>

<dependency>

    <groupId>mysql</groupId>

    <artifactId>mysql-connector-java</artifactId>

    <scope>runtime</scope>

</dependency>

<dependency>

    <groupId>org.mybatis.spring.boot</groupId>

    <artifactId>mybatis-spring-boot-starter</artifactId>

    <version>2.0.0</version>

</dependency>

application.yml

spring:

  datasource:

    driver-class-name: com.mysql.cj.jdbc.Driver

    url: jdbc:mysql://localhost:3306/spring-security-jwt?useUnicode=true&characterEncoding=utf-8&useSSL=false

    username: root

    password: root

SecurityConfig

@Configuration

@EnableWebSecurity

public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired

    private UserDetailsService userDetailsService;

    @Autowired

    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {

        //校验用户

        auth.userDetailsService( userDetailsService ).passwordEncoder( new PasswordEncoder() {

            //对密码进行加密

            @Override

            public String encode(CharSequence charSequence) {

                System.out.println(charSequence.toString());

                return DigestUtils.md5DigestAsHex(charSequence.toString().getBytes());

            }

            //对密码进行判断匹配

            @Override

            public boolean matches(CharSequence charSequence, String s) {

                String encode = DigestUtils.md5DigestAsHex(charSequence.toString().getBytes());

                boolean res = s.equals( encode );

                return res;

            }

        } );

    }

    @Override

    protected void configure(HttpSecurity http) throws Exception {

        http.csrf().disable()

                //因为使用JWT，所以不需要HttpSession

                .sessionManagement().sessionCreationPolicy( SessionCreationPolicy.STATELESS).and()

                .authorizeRequests()

                //OPTIONS请求全部放行

                .antMatchers( HttpMethod.OPTIONS, "/**").permitAll()

                //登录接口放行

                .antMatchers("/auth/login").permitAll()

                //其他接口全部接受验证

                .anyRequest().authenticated();

        //使用自定义的 Token过滤器 验证请求的Token是否合法

        http.addFilterBefore(authenticationTokenFilterBean(), UsernamePasswordAuthenticationFilter.class);

        http.headers().cacheControl();

    }

    @Bean

    public JwtTokenFilter authenticationTokenFilterBean() throws Exception {

        return new JwtTokenFilter();

    }

    @Bean

    @Override

    public AuthenticationManager authenticationManagerBean() throws Exception {

        return super.authenticationManagerBean();

    }

}

JwtTokenUtil

/**

 * JWT 工具类

 */

@Component

public class JwtTokenUtil implements Serializable {

    private static final String CLAIM_KEY_USERNAME = "sub";

    /**

     * 5天(毫秒)

     */

    private static final long EXPIRATION_TIME = 432000000;

    /**

     * JWT密码

     */

    private static final String SECRET = "secret";

    /**

     * 签发JWT

     */

    public String generateToken(UserDetails userDetails) {

        Map<String, Object> claims = new HashMap<>(16);

        claims.put( CLAIM_KEY_USERNAME, userDetails.getUsername() );

        return Jwts.builder()

                .setClaims( claims )

                .setExpiration( new Date( Instant.now().toEpochMilli() + EXPIRATION_TIME  ) )

                .signWith( SignatureAlgorithm.HS512, SECRET )

                .compact();

    }

    /**

     * 验证JWT

     */

    public Boolean validateToken(String token, UserDetails userDetails) {

        User user = (User) userDetails;

        String username = getUsernameFromToken( token );

        return (username.equals( user.getUsername() ) && !isTokenExpired( token ));

    }

    /**

     * 获取token是否过期

     */

    public Boolean isTokenExpired(String token) {

        Date expiration = getExpirationDateFromToken( token );

        return expiration.before( new Date() );

    }

    /**

     * 根据token获取username

     */

    public String getUsernameFromToken(String token) {

        String username = getClaimsFromToken( token ).getSubject();

        return username;

    }

    /**

     * 获取token的过期时间

     */

    public Date getExpirationDateFromToken(String token) {

        Date expiration = getClaimsFromToken( token ).getExpiration();

        return expiration;

    }

    /**

     * 解析JWT

     */

    private Claims getClaimsFromToken(String token) {

        Claims claims = Jwts.parser()

                .setSigningKey( SECRET )

                .parseClaimsJws( token )

                .getBody();

        return claims;

    }

}

JwtTokenFilter

@Component

public class JwtTokenFilter extends OncePerRequestFilter {

    @Autowired

    private UserDetailsService userDetailsService;

    @Autowired

    private JwtTokenUtil jwtTokenUtil;

    /**

     * 存放Token的Header Key

     */

    public static final String HEADER_STRING = "Authorization";

    @Override

    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain chain) throws ServletException, IOException {

        String token = request.getHeader( HEADER_STRING );

        if (null != token) {

            String username = jwtTokenUtil.getUsernameFromToken(token);

            if (username != null && SecurityContextHolder.getContext().getAuthentication() == null) {

                UserDetails userDetails = this.userDetailsService.loadUserByUsername(username);

                if (jwtTokenUtil.validateToken(token, userDetails)) {

                    UsernamePasswordAuthenticationToken authentication = new UsernamePasswordAuthenticationToken(

                            userDetails, null, userDetails.getAuthorities());

                    authentication.setDetails(new WebAuthenticationDetailsSource().buildDetails(

                            request));

                    SecurityContextHolder.getContext().setAuthentication(authentication);

                }

            }

        }

        chain.doFilter(request, response);

    }

}

AuthServiceImpl

@Service

public class AuthServiceImpl implements AuthService {

    @Autowired

    private AuthenticationManager authenticationManager;

    @Autowired

    private UserDetailsService userDetailsService;

    @Autowired

    private JwtTokenUtil jwtTokenUtil;

    @Override

    public String login(String username, String password) {

        UsernamePasswordAuthenticationToken upToken = new UsernamePasswordAuthenticationToken( username, password );

        Authentication authentication = authenticationManager.authenticate(upToken);

        SecurityContextHolder.getContext().setAuthentication(authentication);

        UserDetails userDetails = userDetailsService.loadUserByUsername( username );

        String token = jwtTokenUtil.generateToken(userDetails);

        return token;

    }

}

关键代码就是这些，其他类代码参照后面提供的源码地址。

验证

curl -X POST -d "username=admin&password=123456" http://127.0.0.1:8080/auth/login

eyJhbGciOiJIUzUxMiJ9.eyJzdWIiOiJhZG1pbiIsImV4cCI6MTU1NDQ1MzUwMX0.sglVeqnDGUL9pH1oP3Lh9XrdzJIS42VKBApd2nPJt7e1TKhCEY7AUfIXnzG9vc885_jTq4-h8R6YCtRRJzl8fQ

不带token访问资源

curl -X POST -d "name=zhangsan" http://127.0.0.1:8080/admin/hi

返回，拒绝访问

{

    "timestamp": "2019-03-31T08:50:55.894+0000",

    "status": 403,

    "error": "Forbidden",

    "message": "Access Denied",

    "path": "/auth/login"

}

携带token访问资源

curl -X POST -H "Authorization: eyJhbGciOiJIUzUxMiJ9.eyJzdWIiOiJhZG1pbiIsImV4cCI6MTU1NDQ1MzUwMX0.sglVeqnDGUL9pH1oP3Lh9XrdzJIS42VKBApd2nPJt7e1TKhCEY7AUfIXnzG9vc885_jTq4-h8R6YCtRRJzl8fQ" -d "name=zhangsan" http://127.0.0.1:8080/admin/hi

返回正确

hi zhangsan , you have 'admin' role

源码

https://github.com/gf-huanchupk/SpringBootLearning/tree/master/springboot-jwt

Spring Boot Security 整合 JWT 实现无状态的分布式API接口的更多相关文章

Spring Boot Security 整合 OAuth2 设计安全API接口服务
简介 OAuth是一个关于授权(authorization)的开放网络标准,在全世界得到广泛应用,目前的版本是2.0版.本文重点讲解Spring Boot项目对OAuth2进行的实现,如果你对OAut ...
Spring Boot Security OAuth2 实现支持JWT令牌的授权服务器
概要之前的两篇文章,讲述了Spring Security 结合 OAuth2 .JWT 的使用,这一节要求对 OAuth2.JWT 有了解,若不清楚,先移步到下面两篇提前了解下. Spring Bo ...
Spring Boot Security JWT 整合实现前后端分离认证示例
前面两章节我们介绍了 Spring Boot Security 快速入门和 Spring Boot JWT 快速入门,本章节使用 JWT 和 Spring Boot Security 构件一个前后端 ...
spring boot:spring security整合jwt实现登录和权限验证(spring boot 2.3.3)
一,为什么使用jwt? 1,什么是jwt? Json Web Token, 它是JSON风格的轻量级的授权和身份认证规范, 可以实现无状态.分布式的Web应用授权 2,jwt的官网: https:// ...
Spring Boot：整合Spring Security
综合概述 Spring Security 是 Spring 社区的一个顶级项目,也是 Spring Boot 官方推荐使用的安全框架.除了常规的认证(Authentication)和授权(Author ...
Spring Security整合JWT，实现单点登录，So Easy~！
前面整理过一篇 SpringBoot Security前后端分离,登录退出等返回json数据,也就是用Spring Security,基于SpringBoot2.1.4 RELEASE前后端分离的情况 ...
实战！spring Boot security+JWT 前后端分离架构认证登录！
大家好,我是不才陈某~ 认证.授权是实战项目中必不可少的部分,而Spring Security则将作为首选安全组件,因此陈某新开了 <Spring Security 进阶> 这个专栏,写一 ...
Spring Boot Security Oauth2之客户端模式及密码模式实现
Spring Boot Security Oauth2之客户端模式及密码模式实现示例主要内容 1.多认证模式(密码模式.客户端模式) 2.token存到redis支持 3.资源保护 4.密码模式用户 ...
Spring Boot 应用系列 5 -- Spring Boot 2 整合logback
上一篇我们梳理了Spring Boot 2 整合log4j2的配置过程,其中讲到了Spring Boot 2原装适配logback,并且在非异步环境下logback和log4j2的性能差别不大,所以对 ...

随机推荐

【数学基础篇】---详解极限与微分学与Jensen 不等式
一.前述数学基础知识对机器学习还有深度学习的知识点理解尤为重要,本节主要讲解极限等相关知识. 二.极限 1.例子当 x 趋于 0 的时候,sin(x) 与 tan(x) 都趋于 0. 但是哪一个趋 ...
im2col：将卷积运算转为矩阵相乘
目录 im2col实现优缺点分析参考博客:blog.shinelee.me | 博客园 | CSDN im2col实现如何将卷积运算转为矩阵相乘?直接看下面这张图,以下图片来自论文High P ...
从壹开始前后端分离[.NetCore ] 38 ║自动初始化数据库（不定期更新）
缘起哈喽大家好呀,我们又见面啦,这里先祝大家圣诞节快乐哟,昨天的红包不知道有没有小伙伴抢到呢.今天的这篇内容灰常简单,只是对我们的系统的数据库进行CodeFirst,然后就是数据处理,因为这几个月来 ...
使用Elasticsearch的动态索引和索引优化
关于映射实际工作中使用过ES的朋友可能会有和静儿一样的感受.ES存储更新从编码上是很方便.如下,Kubernetes的yaml文件完全可以通过json直接序列化一下,一行代码存入ES. 剩下的工作可 ...
handler原理
一.消息机制概述 1.消息机制的简介 (1)Handler是什么 handler使Android给我们提供的用来更新UI的一套机制,也是一套消息处理机制:我们可以用它发送处理消息. (2)Androi ...
Wmyskxz文章目录导航附Java精品学习资料
前言:这段时间一直在准备校招的东西,所以一晃眼都好长时间没更新了,这段时间准备的稍微好那么一点点,还是觉得准备归准备,该有的学习节奏还是要有..趁着复习的空隙来整理整理自己写过的文章吧..好多加了微信 ...
解放程序员双手之Supervisor
前言对于大部分程序员来说,主要工作都是进行编码以及一些简单的中间件安装,这就导致了很多人对于“运维”相关的工作会比较生疏.例如当我们拥有一台自己的服务器以后,可能会在上面跑一跑自己blog程序, ...
Docker最全教程之使用Docker搭建Java开发环境（十七）
前言 Java是一门面向对象的优秀编程语言,市场占有率极高,但是在容器化实践过程中,发现官方支持并不友好,同时与其他编程语言的基础镜像相比(具体见各语言镜像比较),确实是非常臃肿. 本篇仅作探索,希望 ...
【原创】详细案例解剖——浅谈Redis缓存的常用5种方式（String，Hash，List，set，SetSorted ）
很多小伙伴没接触过Redis,以至于去学习的时候感觉云里雾里的,就有一种:教程随你出,懂了算我输的感觉. 每次听圈内人在谈论的时候总是插不上话,小编就偷偷去了解了一下,也算是初入门径. 然后就整理了一 ...
在地图中调用显示FeatureLayer并进行render、popupTemplate、添加图例等相关内容的设置
ArcGIS Server发布完FeatureLayer后,就可以在自己的代码中调用并在地图上显示出来了. 一.代码框架调用FeatureLayer,要在require开头引入"esri/ ...

Spring Boot Security 整合 JWT 实现无状态的分布式API接口

简介

快速上手

建表

项目结构

关键代码

pom.xml

application.yml

SecurityConfig

JwtTokenUtil

JwtTokenFilter

AuthServiceImpl

验证

源码

推荐阅读

Spring Boot 系列精选

SpringCloud 系列精选

Dubbo 系列精选

Docker 系列精选

Spring Boot Security 整合 JWT 实现无状态的分布式API接口的更多相关文章

随机推荐

热门专题

Spring Boot Security 整合 JWT 实现 无状态的分布式API接口

简介

快速上手

建表

项目结构

关键代码

pom.xml

application.yml

SecurityConfig

JwtTokenUtil

JwtTokenFilter

AuthServiceImpl

验证

源码

推荐阅读

Spring Boot 系列精选

SpringCloud 系列精选

Dubbo 系列精选

Docker 系列精选

Spring Boot Security 整合 JWT 实现 无状态的分布式API接口的更多相关文章

随机推荐

热门专题

Spring Boot Security 整合 JWT 实现无状态的分布式API接口

Spring Boot Security 整合 JWT 实现无状态的分布式API接口的更多相关文章