SpringSecurity 整合 JWT

项目集成Spring Security（一）

在上一篇基础上继续集成 JWT ，实现用户身份验证。

前言

前后端分离项目中，如果直接把 API 接口对外开放，我们知道这样风险是很大的，所以在上一篇中我们引入了 Spring Security ，但是我们在登陆后缺少了请求凭证部分。

什么是JWT?

JWT是 Json Web Token 的缩写。它是基于 RFC 7519 标准定义的一种可以安全传输的 小巧 和 自包含 的JSON对象。由于数据是使用数字签名的，所以是可信任的和安全的。JWT可以使用HMAC算法对secret进行加密或者使用RSA的公钥私钥对来进行签名。

JWT的工作流程

1、用户进入登录页，输入用户名、密码，进行登录；
2、服务器验证登录鉴权，如果改用户合法，根据用户的信息和服务器的规则生成 JWT Token
3、服务器将该 token 以 json 形式返回（不一定要json形式，这里说的是一种常见的做法）
4、用户得到 token，存在 localStorage、cookie 或其它数据存储形式中。以后用户请求 /protected 中的 API 时，在请求的 header 中加入 Authorization: Bearer xxxx(token)。此处注意token之前有一个7字符长度的 Bearer。
5、服务器端对此 token 进行检验，如果合法就解析其中内容，根据其拥有的权限和自己的业务逻辑给出对应的响应结果。
6、用户取得结果

如下如所示：

7790cc3aade467c985e2e4a8105b89f1.png

来看一下 JWT：

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

token 分成了三部分，头部(header)，荷载(Payload) 和 签名(Signature)，每部分用 . 分隔，其中头部和荷载使用了base64编码，分别解码之后得到两个JSON串：

第一部分-头部：

{"alg": "HS256","typ": "JWT"
}

alg字段为加密算法，这是告诉我们 HMAC 采用 HS512 算法对 JWT 进行的签名。

第二部分-荷载：

{"sub": "1234567890","name": "John Doe","iat": 1516239022
}

荷载的字段及含义：

  • iss: 该JWT的签发者
  • sub: 该JWT所面向的用户
  • aud: 接收该JWT的一方
  • exp(expires): 什么时候过期，这里是一个Unix时间戳
  • iat(issued at): 在什么时候签发的

这段告诉我们这个Token中含有的数据声明（Claim），这个例子里面有三个声明：sub, name 和 iat。在我们这个例子中，分别代表着
所面向的用户、用户名、创建时间，当然你可以把任意数据声明在这里。

第三部分-签名：

第三部分签名则不能使用base64解码出来，该部分用于验证头部和荷载数据的完整性。

JWT的生成和解析

引入依赖：

<!-- JWT -->
<dependency><groupId>io.jsonwebtoken</groupId><artifactId>jjwt</artifactId><version>0.9.1</version>
</dependency>

创建一个测试类尝试一下 JWT 的生成：

public class Test {public static void main(String[] args){String token = Jwts.builder()主题 放入用户名.setSubject("niceyoo")自定义属性 放入用户拥有请求权限.claim("authorities","admin")失效时间.setExpiration(new Date(System.currentTimeMillis() + 7 * 60 * 1000))签名算法和密钥.signWith(SignatureAlgorithm.HS512, "tmax").compact();System.out.println(token);}}

控制台打印如下：

eyJhbGciOiJIUzUxMiJ9.eyJzdWIiOiJuaWNleW9vIiwiYXV0aG9yaXRpZXMiOiJhZG1pbiIsImV4cCI6MTU1OTQ1ODM1M30.keCiHrcEr0IWXfZLocgHS8znn7uSiaZW1IT6bTs-EQG0NPsb6-Aw_XbGQea4mez2CcAflgMqtzIpsDjZsUOVug

数据声明（Claim）是一个自定义属性，可以用来放入用户拥有请求权限。上边为简单直接传了一个 ‘admin’。

再看看解析：

public static void main(String[] args){try {解析tokenClaims claims = Jwts.parser().setSigningKey("tmax").parseClaimsJws("eyJhbGciOiJIUzUxMiJ9.eyJzdWIiOiJuaWNleW9vIiwiYXV0aG9yaXRpZXMiOiJhZG1pbiIsImV4cCI6MTU1OTQ1OTc2Mn0.MkSJtGaVePLa-eM3gylh1T3fwODg-6ceDDOxscXAQKun-qNrbQFcKPNqXhblbXPNLhaJyEnwugNANCTs98UNmA").getBody();System.out.println(claims);获取用户名String username = claims.getSubject();System.out.println("username:"+username);获取权限String authority = claims.get("authorities").toString();System.out.println("权限："+authority);} catch (ExpiredJwtException e) {System.out.println("jwt异常");} catch (Exception e){System.out.println("异常");}
}

控制台打印：

{sub=niceyoo, authorities=admin, exp=1559459762}
username:niceyoo
权限：admin

JWT 本身没啥难度，但安全整体是一个比较复杂的事情，JWT 只不过提供了一种基于 token 的请求验证机制。但我们的用户权限，对于 API 的权限划分、资源的权限划分，用户的验证等等都不是JWT负责的。也就是说，请求验证后，你是否有权限看对应的内容是由你的用户角色决定的。所接下来才是我们的重点，Spring Security 整合 JWT。

集成JWT

要想要 JW T在 Spring 中工作，我们应该新建一个 JWT filter，并把它配置在 WebSecurityConfig 中。

WebSecurityConfigurerAdapter.java

@Slf4j
@Configuration
@EnableGlobalMethodSecurity(prePostEnabled=true)
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {@Autowiredprivate UserDetailsServiceImpl userDetailsService;@Autowiredprivate AuthenticationSuccessHandler successHandler;@Autowiredprivate AuthenticationFailHandler failHandler;@Overrideprotected void configure(AuthenticationManagerBuilder auth) throws Exception {auth.userDetailsService(userDetailsService).passwordEncoder(new BCryptPasswordEncoder());加密}@Overrideprotected void configure(HttpSecurity http) throws Exception {ExpressionUrlAuthorizationConfigurer<HttpSecurity>.ExpressionInterceptUrlRegistry registry = http.authorizeRequests();registry.and()表单登录方式.formLogin().permitAll()成功处理类.successHandler(successHandler)失败.failureHandler(failHandler).and().logout().permitAll().and().authorizeRequests()任何请求.anyRequest()需要身份认证.authenticated().and()关闭跨站请求防护.csrf().disable()前后端分离采用JWT 不需要session.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS).and()添加JWT过滤器 除已配置的其它请求都需经过此过滤器.addFilter(new JWTAuthenticationFilter(authenticationManager(), 7));}
}

相较于上一篇主要多了如下一行配置：

.addFilter(new JWTAuthenticationFilter(authenticationManager(), 7));

JWTAuthenticationFilter.java

@Slf4j
public class JWTAuthenticationFilter extends BasicAuthenticationFilter   {private Integer tokenExpireTime;public JWTAuthenticationFilter(AuthenticationManager authenticationManager, Integer tokenExpireTime) {super(authenticationManager);this.tokenExpireTime = tokenExpireTime;}public JWTAuthenticationFilter(AuthenticationManager authenticationManager, AuthenticationEntryPoint authenticationEntryPoint) {super(authenticationManager, authenticationEntryPoint);}@Overrideprotected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain chain) throws IOException, ServletException {String header = request.getHeader(SecurityConstant.HEADER);if(StrUtil.isBlank(header)){header = request.getParameter(SecurityConstant.HEADER);}Boolean notValid = StrUtil.isBlank(header) || (!header.startsWith(SecurityConstant.TOKEN_SPLIT));if (notValid) {chain.doFilter(request, response);return;}try {UsernamePasswordAuthenticationToken 继承 AbstractAuthenticationToken 实现 Authentication所以当在页面中输入用户名和密码之后首先会进入到 UsernamePasswordAuthenticationToken验证(Authentication)，UsernamePasswordAuthenticationToken authentication = getAuthentication(header, response);SecurityContextHolder.getContext().setAuthentication(authentication);}catch (Exception e){e.toString();}chain.doFilter(request, response);}private UsernamePasswordAuthenticationToken getAuthentication(String header, HttpServletResponse response) {用户名String username = null;权限List<GrantedAuthority> authorities = new ArrayList<>();try {解析tokenClaims claims = Jwts.parser().setSigningKey(SecurityConstant.JWT_SIGN_KEY).parseClaimsJws(header.replace(SecurityConstant.TOKEN_SPLIT, "")).getBody();logger.info("claims："+claims);获取用户名username = claims.getSubject();logger.info("username："+username);获取权限String authority = claims.get(SecurityConstant.AUTHORITIES).toString();logger.info("authority："+authority);if(!StringUtils.isEmpty(authority)){authorities.add(new SimpleGrantedAuthority(authority));}} catch (ExpiredJwtException e) {ResponseUtil.out(response, ResponseUtil.resultMap(false,401,"登录已失效，请重新登录"));} catch (Exception e){log.error(e.toString());ResponseUtil.out(response, ResponseUtil.resultMap(false,500,"解析token错误"));}if(StrUtil.isNotBlank(username)) {踩坑提醒 此处password不能为nullUser principal = new User(username, "", authorities);return new UsernamePasswordAuthenticationToken(principal, null, authorities);}return null;}
}

接下来我们启动项目看看：

访问项目中已有的链接：

http://localhost:7777/tmax/videoCategory/getAll

老样子认证一波：

其中 niceyoo、****** 为数据库用户信息

登陆成功后获取返回的 token，注意，此 token 是由 JWT 生成的：

 String token = SecurityConstant.TOKEN_SPLIT + Jwts.builder()主题 放入用户名.setSubject(username)自定义属性 放入用户拥有请求权限.claim(SecurityConstant.AUTHORITIES, authorities)失效时间.setExpiration(new Date(System.currentTimeMillis() + 7 * 60 * 1000))签名算法和密钥.signWith(SignatureAlgorithm.HS512, SecurityConstant.JWT_SIGN_KEY).compact();

浏览器返回 token 如下：

ad45accf0b31c606a10c568acbddec19.png

然后我们通过 token 凭证去访问上边的方法：

e3c05b207e1ec11e1f23560ef1b724b6.png

后台打印信息：

claims：{sub=niceyoo, authorities=admin, exp=1559472866}
username：niceyoo
authority：admin

随便改一下 token ，返回如下：

172cbf88bbb16a6679931885c2bdd2c4.png

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/414419.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

MySQL 使用自增ID主键和UUID 作为主键的优劣比较详细过程（从百万到千万表记录测试）...

MySQL 使用自增ID主键和UUID 作为主键的优劣比较详细过程（从百万到千万表记录测试）...

Reference: https://blog.csdn.net/mchdba/article/details/52336203 一个开发同事做了一个框架&#xff0c;里面主键是uuid&#xff0c;我跟他建议说mysql不要用uuid用自增主键&#xff0c;自增主键效率高&#xff0c;他说不一定高&#xff0c;我说innodb的索引特性导致了自增…
阅读更多...
String 字符串去除特殊字符和空格，正则表达式使用，%1$s，摄氏度和华氏度相互转换

String 字符串去除特殊字符和空格，正则表达式使用，%1$s，摄氏度和华氏度相互转换

*华氏度转摄氏度 ℃ (οF - 32) / 1.8 摄氏度转华氏度 F (9/5)*C 32 摄氏度转华氏度 fahrenheit (9/5.0) * wd 32; fahrenheit2 (9/5.0) * wd2 32; int hs (int) fahrenheit; 华氏度转摄氏度 degree (fahrenheit - 32)*5/9; 特殊字符 String tt "sdfdf{fwe }…
阅读更多...
前端学习（2801）：传递id

前端学习（2801）：传递id

阅读更多...
Spring Security 认证执行流程

Spring Security 认证执行流程

本文基于 Spring Security 5.x 推荐阅读&#xff1a; 项目集成Spring Security SpringSecurity 整合 JWT 一、外层-正常登陆调用 项目启动后会自动寻找 UserDetailsService 实现类&#xff1b; 执行 UserDetailsService 的唯一方法 loadUserByName(String username) 并返回…
阅读更多...
ScrollView嵌套ViewPager，ViewPage动态设置高度，嵌套事件冲突——滑动冲突解决方法

ScrollView嵌套ViewPager，ViewPage动态设置高度，嵌套事件冲突——滑动冲突解决方法

1、创建自定义ViewPager public class ViewPagerForScrollView extends ViewPager {int myh0 ;boolean ifme false;public ViewPagerForScrollView(Context context) {super(context);Log.i("lgq","高度111 " );}public ViewPagerForScrollView(Context c…
阅读更多...
centos7下python3与python2共存并且开启py3虚拟环境

centos7下python3与python2共存并且开启py3虚拟环境

因为下载视频需要用到python3环境&#xff0c;今天在我的win上安装下载工具死活安装不上去&#xff0c;在大盘鸡上一下就安装成功了...可能在win上不兼容吧...无奈只能在大盘鸡上进行折腾了&#xff0c;顺便几个笔记 由于大盘鸡上好多程序基于python2的&#xff0c;所以就没法直…
阅读更多...
前端学习（2802）：完成资讯页面详情

前端学习（2802）：完成资讯页面详情

阅读更多...
Android开发启动未注册的activity，Hook使用demo

Android开发启动未注册的activity，Hook使用demo

三个工具类 1、 /*** author : LGQ* date : 2020/05/11 14* desc :*/ public class HCallback implements Handler.Callback{private final String TAG"HCallback";private Handler mHandler;public HCallback(Handler handler){mHandlerhandler;}Overridepublic bo…
阅读更多...
游戏UI系统设计

游戏UI系统设计

1.需要实现的功能 UI界面的管理&#xff08;窗体加载、窗体显示、窗体隐藏、窗体销毁等&#xff09;UI分层次&#xff08;比如弹窗、广播信息需要在上层&#xff09;UI界面的出场、入场动画UI界面的显示效果&#xff08;比如带透明背景、带高斯模糊背景等&#xff09;UI可以动态…
阅读更多...
前端学习（2803）：点击商品列表导航到商品详情页

前端学习（2803）：点击商品列表导航到商品详情页

阅读更多...
String转List，String转数组，List转ArrayList，数组转List

String转List，String转数组，List转ArrayList，数组转List

String转List private List<String> strings; strings Arrays.asList(dataBean.getImgs().split(",")); String转数组 String ac "12&/*?*/3"; String shuzu [] null; shuzu ac.split("");//是[12&/,?,3] 特殊字符用中括…
阅读更多...
docker容器配置加速器

docker容器配置加速器

1.编辑docker配置文件 vi /etc/docker/daemon.json加入如下配置&#xff1a; {"registry-mirrors":["https://docker.mirrors.ustc.edu.cn"]}该链接为中科大加速器地址&#xff0c;无需注册。 2. 执行命令生效 systemctl daemon-reload systemctl res…
阅读更多...
软件测试原则

软件测试原则

软件测试原则测试 原则 测试原则 测试证明软件存在缺陷 测试的本质是证明软件存在缺陷&#xff0c;而不是软件没有缺陷。 人无完人&#xff0c;只要是人写的代码&#xff0c;肯定不能保证百分之百正确&#xff0c;除非特别简单的功能。即便如此&#xff0c;也会存在各种环境问题…
阅读更多...
前端学习（2810）：完成安卓打包

前端学习（2810）：完成安卓打包

阅读更多...
Unable to add window token null is not valid is your activity running

Unable to add window token null is not valid is your activity running

莫名其妙的报错 错误原因是不在主线程调用了弹窗方法 解决方法很简单 创建Handler static final int REFRESH_COMPLETE 0X1112; private Handler mHandler new Handler() {public void handleMessage(android.os.Message msg) {switch (msg.what) {case REFRESH_COMPLETE:Ob…
阅读更多...
01-Flutter移动电商实战-项目学习记录

01-Flutter移动电商实战-项目学习记录

01-Flutter移动电商实战-项目学习记录 一直想系统性的学习一下 Flutter&#xff0c;正好看到该课程《Flutter移动电商实战》的百度云资源&#xff0c;共 69 课时&#xff0c;由于怕自己坚持不下去&#xff08;经常学着学着就不学了&#xff09;&#xff0c;故采用博客监督以记之…
阅读更多...
前端学习（2818）：小程序学习之新建页面

前端学习（2818）：小程序学习之新建页面

直接page.json配置即可
阅读更多...
matplotlib 的一些知识

matplotlib 的一些知识

import matplotlib.pyplot as plt plt做图有两种方式&#xff0c;一种是面向对象编程方式的&#xff0c;一种是直接利用plt的结构化的快速绘图编程方式。所以命令不能用错地方。figplt.figure() 返回的fig为Figure类对象 ax1fig.add_subplot(111) 返回的ax1为Axes类对象 这个…
阅读更多...
02-Flutter移动电商实战-建立项目和编写入口文件

02-Flutter移动电商实战-建立项目和编写入口文件

02-Flutter移动电商实战-建立项目和编写入口文件 环境搭建请参考之前写的一篇文章&#xff1a;Flutter_初体验_创建第一个应用 1、创建项目 采用AndroidStudio构建本项目&#xff0c;FIle>New>New Flutter Project… 创建后的项目如下图所示&#xff1a; 我们着重需要…
阅读更多...
前端学习（2811）：小程序学习之学习目录

前端学习（2811）：小程序学习之学习目录

​​​​​​​​
阅读更多...
最新文章

Copyright @ 2022~2023