双Token实现用户登录身份认证-Java版

1. 设计方案

方案概述:

• Access Token: 短期有效的JWT，包含用户ID、设备ID、token版本号。
• Refresh Token: 长期有效的令牌，存储于Redis，关联用户信息、设备ID及token版本号，用于刷新Access Token。
• 设备绑定: Token与设备ID绑定，防止跨设备使用。
• 安全性: 用户修改关键信息时递增token版本号，使旧Token失效。

整个流程大致如下：

1. 用户登录，提供手机号、密码、设备ID。
2. 服务端验证通过后，生成access token（包含userId、deviceId、tokenVersion）和refresh token。
3. refresh token存储到Redis，key为refresh_token: + refreshToken，值为userId、deviceId、tokenVersion。
4. 客户端保存双token，并在请求时携带access token和设备ID。
5. 拦截器验证access token的有效性，包括签名、过期时间、设备ID匹配、tokenVersion是否最新。
6. access token过期后，客户端使用refresh token和设备ID请求刷新。
7. 服务端验证refresh token是否存在，设备ID是否匹配，tokenVersion是否一致，若通过则生成新的access token，Redis中的refresh token不变。
8. 用户修改信息时，更新tokenVersion，使所有旧的refresh token和access token失效。
9. 不同设备的登录生成不同的refresh token，设备间无法混用,，同时减少token泄露带来的后续风险。
10. 用户退出时，删除Redis中对应得refresh token。

针对各个模块的代码实现：

• JWT工具类：处理生成和解析token，包含tokenVersion。
• 登录接口：生成双token，存储refresh token到Redis。
• 刷新接口：处理refresh token，生成新的access token。
• 拦截器：验证access token和设备信息。
• 用户修改信息：更新tokenVersion。

2. 代码实现

2.1 数据库用户信息表结构

2.2 JWT工具类

@Getter
@Component
public class AuthJwtUtil {@Value("${auth.jwt.secretKey}")private String secretKey;@Value("${auth.jwt.access.expiration}")private long accessExpirationMs;@Value("${auth.jwt.refresh.expiration}")private long refreshExpirationMs;@Autowiredprivate RedisTemplate<String, Object> redisTemplate;/*** 生成访问令牌accessToken* @param userId* @param deviceId* @param tokenVersion* @return*/public String generateAccessToken(Long userId, String deviceId, Integer tokenVersion) {return Jwts.builder().claim("userId", userId).claim("deviceId", deviceId).claim("tokenVersion", tokenVersion).setIssuedAt(new Date()).setExpiration(new Date(System.currentTimeMillis() + accessExpirationMs)).signWith(SignatureAlgorithm.HS256, secretKey.getBytes(StandardCharsets.UTF_8)).compact();}/*** 解析访问令牌* @param token* @return*/public Claims parseAccessToken(String token) {return Jwts.parser().setSigningKey(secretKey.getBytes(StandardCharsets.UTF_8)).parseClaimsJws(token).getBody();}/*** 生成刷新令牌refreshToken* @param userId* @param deviceId* @param tokenVersion* @return*/public String generateRefreshToken(Long userId, String deviceId, Integer tokenVersion) {String refreshToken = UUID.randomUUID().toString();AuthRefreshTokenInfo refreshTokenInfo = AuthRefreshTokenInfo.builder().userId(userId).deviceId(deviceId).tokenVersion(tokenVersion).build();String refreshKey = "refresh_token:" + refreshToken;redisTemplate.opsForValue().set(refreshKey, refreshTokenInfo, Duration.ofMillis(refreshExpirationMs));return refreshToken;}
}

2.3 请求拦截器

@Component
public class AuthInterceptor implements HandlerInterceptor {@Autowiredprivate AuthJwtUtil jwtUtil;@Autowiredprivate AuthService authService;@Overridepublic boolean preHandle(