Spring Boot認證：整合Jwt

来源:https://www.cnblogs.com/vandusty/archive/2019/10/05/11623753.html
-Advertisement-
Play Games

本文主要講解Spring Boot 整合Jwt 認證的示例，詳細內容，詳見文末源碼。 ...


背景

Jwt全稱是：json web token。它將用戶信息加密到token里，伺服器不保存任何用戶信息。伺服器通過使用保存的密鑰驗證token的正確性，只要正確即通過驗證。

優點

  1. 簡潔: 可以通過URL、POST參數或者在HTTP header發送，因為數據量小，傳輸速度也很快；
  2. 自包含：負載中可以包含用戶所需要的信息，避免了多次查詢資料庫；
  3. 因為Token是以JSON加密的形式保存在客戶端的，所以JWT是跨語言的，原則上任何web形式都支持；
  4. 不需要在服務端保存會話信息，特別適用於分散式微服務。

缺點

  1. 無法作廢已頒佈的令牌；
  2. 不易應對數據過期。

一、Jwt消息構成

1.1 組成

一個token分3部分，按順序為

  1. 頭部（header)
  2. 載荷（payload)
  3. 簽證（signature)

三部分之間用.號做分隔。例如：

eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJhdWQiOiIxYzdiY2IzMS02ODFlLTRlZGYtYmU3Yy0wOTlkODAzM2VkY2UiLCJleHAiOjE1Njk3Mjc4OTF9.wweMzyB3tSQK34Jmez36MmC5xpUh15Ni3vOV_SGCzJ8

Jwt的頭部承載兩部分信息：

  1. 聲明類型，這裡是Jwt
  2. 聲明加密的演算法 通常直接使用 HMAC SHA256

Jwt里驗證和簽名使用的演算法列表如下：

JWS 演算法名稱
HS256 HMAC256
HS384 HMAC384
HS512 HMAC512
RS256 RSA256
RS384 RSA384
RS512 RSA512
ES256 ECDSA256
ES384 ECDSA384
ES512 ECDSA512

1.3 playload

載荷就是存放有效信息的地方。基本上填2種類型數據

  1. 標準中註冊的聲明的數據；
  2. 自定義數據。

由這2部分內部做base64加密。

  • 標準中註冊的聲明 (建議但不強制使用)
iss: jwt簽發者
sub: jwt所面向的用戶
aud: 接收jwt的一方
exp: jwt的過期時間，這個過期時間必須要大於簽發時間
nbf: 定義在什麼時間之前，該jwt都是不可用的.
iat: jwt的簽發時間
jti: jwt的唯一身份標識，主要用來作為一次性token,從而迴避重放攻擊。
  • 自定義數據:存放我們想放在token中存放的key-value值

1.4 signature

Jwt的第三部分是一個簽證信息，這個簽證信息由三部分組成
base64加密後的header和base64加密後的payload連接組成的字元串，然後通過header中聲明的加密方式進行加鹽secret組合加密，然後就構成了Jwt的第三部分。

二、Spring Boot和Jwt集成示例

示例代碼採用：

<dependency>
    <groupId>com.auth0</groupId>
    <artifactId>java-jwt</artifactId>
    <version>3.8.1</version>
</dependency>

2.1 項目依賴

<dependencies>
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-web</artifactId>
    </dependency>
    <dependency>
        <groupId>io.jsonwebtoken</groupId>
        <artifactId>jjwt</artifactId>
        <version>0.9.1</version>
    </dependency>
    <dependency>
        <groupId>com.auth0</groupId>
        <artifactId>java-jwt</artifactId>
        <version>3.8.1</version>
    </dependency>
    <!-- redis -->
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-data-redis</artifactId>
    </dependency>
    <!-- lombok -->
    <dependency>
        <groupId>org.projectlombok</groupId>
        <artifactId>lombok</artifactId>
        <scope>1.8.4</scope>
    </dependency>
    <dependency>
        <groupId>com.alibaba</groupId>
        <artifactId>fastjson</artifactId>
        <version>1.2.47</version>
    </dependency>
</dependencies>

2.2 自定義註解@JwtToken

加上該註解的介面需要登錄才能訪問

@Target({ElementType.METHOD, ElementType.TYPE})
@Retention(RetentionPolicy.RUNTIME)
public @interface JwtToken {
    boolean required() default true;
}

2.3 Jwt 認證工具類JwtUtil.java

主要用來生成簽名、校驗簽名和通過簽名獲取信息

public class JwtUtil {

    /**
     * 過期時間5分鐘
     */
    private static final long EXPIRE_TIME = 5 * 60 * 1000;
    /**
     * jwt 密鑰
     */
    private static final String SECRET = "jwt_secret";

    /**
     * 生成簽名，五分鐘後過期
     * @param userId
     * @return
     */
    public static String sign(String userId) {
        try {
            Date date = new Date(System.currentTimeMillis() + EXPIRE_TIME);
            Algorithm algorithm = Algorithm.HMAC256(SECRET);
            return JWT.create()
                    // 將 user id 保存到 token 裡面
                    .withAudience(userId)
                    // 五分鐘後token過期
                    .withExpiresAt(date)
                    // token 的密鑰
                    .sign(algorithm);
        } catch (Exception e) {
            return null;
        }
    }

    /**
     * 根據token獲取userId
     * @param token
     * @return
     */
    public static String getUserId(String token) {
        try {
            String userId = JWT.decode(token).getAudience().get(0);
            return userId;
        } catch (JWTDecodeException e) {
            return null;
        }
    }

    /**
     * 校驗token
     * @param token
     * @return
     */
    public static boolean checkSign(String token) {
        try {
            Algorithm algorithm = Algorithm.HMAC256(SECRET);
            JWTVerifier verifier = JWT.require(algorithm)
                    // .withClaim("username", username)
                    .build();
            DecodedJWT jwt = verifier.verify(token);
            return true;
        } catch (JWTVerificationException exception) {
            throw new RuntimeException("token 無效，請重新獲取");
        }
    }
}

2.4 攔截器攔截帶有註解的介面

  • JwtInterceptor.java
public class JwtInterceptor implements HandlerInterceptor {

    @Override
    public boolean preHandle(HttpServletRequest httpServletRequest, HttpServletResponse httpServletResponse, Object object) {
        // 從 http 請求頭中取出 token
        String token = httpServletRequest.getHeader("token");
        // 如果不是映射到方法直接通過
        if(!(object instanceof HandlerMethod)){
            return true;
        }
        HandlerMethod handlerMethod=(HandlerMethod)object;
        Method method=handlerMethod.getMethod();
        //檢查有沒有需要用戶許可權的註解
        if (method.isAnnotationPresent(JwtToken.class)) {
            JwtToken jwtToken = method.getAnnotation(JwtToken.class);
            if (jwtToken.required()) {
                // 執行認證
                if (token == null) {
                    throw new RuntimeException("無token，請重新登錄");
                }
                // 獲取 token 中的 userId
                String userId = JwtUtil.getUserId(token);
                System.out.println("用戶id:" + userId);

                // 驗證 token
                JwtUtil.checkSign(token);
            }
        }
        return true;
    }

    @Override
    public void postHandle(HttpServletRequest httpServletRequest, HttpServletResponse httpServletResponse, Object o, ModelAndView modelAndView) throws Exception {

    }
    @Override
    public void afterCompletion(HttpServletRequest httpServletRequest, HttpServletResponse httpServletResponse, Object o, Exception e) throws Exception {

    }
}
  • 註冊攔截器：WebConfig.java
@Configuration
public class WebConfig implements WebMvcConfigurer {

    /**
     * 添加jwt攔截器
     * @param registry
     */
    @Override
    public void addInterceptors(InterceptorRegistry registry) {
        registry.addInterceptor(jwtInterceptor())
                // 攔截所有請求，通過判斷是否有 @JwtToken 註解 決定是否需要登錄
                .addPathPatterns("/**");
    }

    /**
     * jwt攔截器
     * @return
     */
    @Bean
    public JwtInterceptor jwtInterceptor() {
        return new JwtInterceptor();
    }
}

2.5 全局異常捕獲

@RestControllerAdvice
public class GlobalExceptionHandler {
    @ResponseBody
    @ExceptionHandler(Exception.class)
    public Object handleException(Exception e) {
        String msg = e.getMessage();
        if (msg == null || msg.equals("")) {
            msg = "伺服器出錯";
        }
        JSONObject jsonObject = new JSONObject();
        jsonObject.put("message", msg);
        return jsonObject;
    }
}

2.6 介面

  • JwtController.java
@RestController
@RequestMapping("/jwt")
public class JwtController {

    /**
     * 登錄並獲取token
     * @param userName
     * @param passWord
     * @return
     */
    @PostMapping("/login")
    public Object login( String userName, String passWord){
        JSONObject jsonObject=new JSONObject();
        // 檢驗用戶是否存在(為了簡單，這裡假設用戶存在，並製造一個uuid假設為用戶id)
        String userId = UUID.randomUUID().toString();
        // 生成簽名
        String token= JwtUtil.sign(userId);
        Map<String, String> userInfo = new HashMap<>();
        userInfo.put("userId", userId);
        userInfo.put("userName", userName);
        userInfo.put("passWord", passWord);
        jsonObject.put("token", token);
        jsonObject.put("user", userInfo);
        return jsonObject;
    }

    /**
     * 該介面需要帶簽名才能訪問
     * @return
     */
    @JwtToken
    @GetMapping("/getMessage")
    public String getMessage(){
        return "你已通過驗證";
    }
}

2.7 Postman測試介面

2.7.1 在沒token的情況下訪問jwt/getMessage介面

{
    "message": "無token，請重新登錄"
}

2.7.2 先登錄，在訪問jwt/getMessage介面

  • 登錄請求及結果，詳見下圖：

登錄後得到簽名如箭頭處

  • 在請求頭加上簽名，然後再請求jwt/getMessage介面

請求通過，測試成功！

2.7.3 過期後再次訪問

我們設置的簽名過期時間是五分鐘，五分鐘後再次訪問jwt/getMessage介面,結果如下：

通過結果，我們發現時間到了，簽名失效，說明該方案通過。

三、總結

3.1 示例源碼

Github 源碼

3.2 技術交流

  1. 風塵博客
  2. 風塵博客-CSDN
  3. 風塵博客-掘金

您的分享是我們最大的動力!

-Advertisement-
Play Games
更多相關文章
  • 【hadoop】hadoop3.2.0應用環境搭建與使用指南
    下麵列出我搭建hadoop應用環境的文章整理在一起，不定期更新，供大家參考，互相學習！！！ 第一篇 HADOOP部分 1.1 hadoop3.2.0的安裝並測試 1.2 編譯Hadoop連接eclipse的插件遇見的一系列錯誤，崩潰的操作 1.3 在eclipse上運行WordCount的操作過程 ...
  • HTML識別後臺傳輸或者js變數中字元串里的 '\n' 併成功換行顯示
    HTML識別 string 里的 '\n' 併成功換行顯示 設置標簽的的css屬性 ...
  • 4.音頻與視頻
    1.video：支持的三種格式：Ogg，MPEG4，WebM。 Src屬性：要播放視頻的地址。 Width屬性：寬度。 Height屬性：高度。 Autoplay屬性：自動播放。 Loop屬性：迴圈播放。 Controls屬性：向用戶展示控制項，如播放按鈕。 Poster屬性：視頻播放前的預覽圖片。 ...
  • Git命令的總結
    Git 是當前最流行的版本控製程序之一，文本包含了 Git 的一些基本用法 創建 git 倉庫 初始化 git 倉庫 mkdir project # 創建項目目錄cd project # 進入到項目目錄git init # 初始化 git 倉庫。此命令會在當前目錄新建一個 .git 目錄，用於存儲 ...
  • JavaScript 語法:鬆軟科技前端教程
    JavaScript 語法是一套規則，它定義了 JavaScript 的語言結構。 JavaScript 值 JavaScript 語句定義兩種類型的值：混合值和變數值。 混合值被稱為字面量（literal）。變數值被稱為變數。 JavaScript 字面量 書寫混合值最重要的規則是： 寫數值有無小 ...
  • 結構型設計模式（下）
    裝飾模式： 1、定義：動態地給一個對象增加一些額外的職責，就增加對象功能來說，裝飾模式比生成子類實現更為靈活 2、模型結構： (1)抽象構件(Component)：定義一個抽象介面以規範準備接收附加責任的對象 (2)具體構件(ConcreteComponent)：實現抽象構件，通過裝飾角色為其添加一 ...
  • 設計模式-行為型-職責鏈模式
    職責鏈模式（Chain of Responsibility）： 在現實生活中，常常會出現這樣的事例：一個請求需要多個對象處理，但每個對象的處理條件或許可權不同。如公司員工報銷差旅費，可審批的領導有部分負責人、副總經理、總經理等，但每個領導能審批的金額是不同的，不同的金額需要找相應的領導審批，也就是說要 ...
  • tensor flow 線性回歸
    # -*- coding: utf-8 -*-"""Spyder Editor This is a temporary script file.tensor flow 之線性回歸模式2019-oct-5""" import tensorflow as tfimport numpy as npimpo ...
一周排行
    -Advertisement-
    Play Games
  • 移動開發（一）：使用.NET MAUI開發第一個安卓APP
    移動開發（一）：使用.NET MAUI開發第一個安卓APP 對於工作多年的C#程式員來說，近來想嘗試開發一款安卓APP，考慮了很久最終選擇使用.NET MAUI這個微軟官方的框架來嘗試體驗開發安卓APP，畢竟是使用Visual Studio開發工具，使用起來也比較的順手，結合微軟官方的教程進行了安卓 ...
  • wpf ToggleButton選中效果和一個登錄界面
    前言 QuestPDF 是一個開源 .NET 庫，用於生成 PDF 文檔。使用了C# Fluent API方式可簡化開發、減少錯誤並提高工作效率。利用它可以輕鬆生成 PDF 報告、發票、導出文件等。 項目介紹 QuestPDF 是一個革命性的開源 .NET 庫，它徹底改變了我們生成 PDF 文檔的方 ...
  • 彈幕樹洞項目功能新增篇
    項目地址 項目後端地址： https://github.com/ZyPLJ/ZYTteeHole 項目前端頁面地址： ZyPLJ/TreeHoleVue (github.com) https://github.com/ZyPLJ/TreeHoleVue 目前項目測試訪問地址： http://tree ...
  • 第27篇 sqlserver2022詳細安裝步驟
    話不多說，直接開乾 一.下載 1.官方鏈接下載： https://www.microsoft.com/zh-cn/sql-server/sql-server-downloads 2.在下載目錄中找到下麵這個小的安裝包 SQL2022-SSEI-Dev.exe，運行開始下載SQL server； 二. ...
  • .NET 開源高性能 MQTT 類庫
    前言 隨著物聯網（IoT）技術的迅猛發展，MQTT（消息隊列遙測傳輸）協議憑藉其輕量級和高效性，已成為眾多物聯網應用的首選通信標準。 MQTTnet 作為一個高性能的 .NET 開源庫，為 .NET 平臺上的 MQTT 客戶端與伺服器開發提供了強大的支持。 本文將全面介紹 MQTTnet 的核心功能 ...
  • Serilog文檔翻譯系列（六） - 可用的接收器、增強器、格式化輸出
    Serilog支持多種接收器用於日誌存儲，增強器用於添加屬性，LogContext管理動態屬性，支持多種輸出格式包括純文本、JSON及ExpressionTemplate。還提供了自定義格式化選項，適用於不同需求。 ...
  • 警惕 Visual Studio 屬性求值副作用導致邏輯不符合預期
    目錄簡介獲取 HTML 文檔解析 HTML 文檔測試參考文章 簡介 動態內容網站使用 JavaScript 腳本動態檢索和渲染數據，爬取信息時需要模擬瀏覽器行為，否則獲取到的源碼基本是空的。 本文使用的爬取步驟如下： 使用 Selenium 獲取渲染後的 HTML 文檔 使用 HtmlAgility ...
  • [使用目前最新版]HybridCLR6.9.0+YooAsset2.2.4實現純C# Unity熱更新方案 (一)
    1.前言 什麼是熱更新 游戲或者軟體更新時，無需重新下載客戶端進行安裝，而是在應用程式啟動的情況下，在內部進行資源或者代碼更新 Unity目前常用熱更新解決方案 HybridCLR，Xlua，ILRuntime等 Unity目前常用資源管理解決方案 AssetBundles，Addressable， ...
  • 在 ASP.NET Core Web API 中使用操作篩選器統一處理通用操作
    本文章主要是在C# ASP.NET Core Web API框架實現向手機發送驗證碼簡訊功能。這裡我選擇是一個互億無線簡訊驗證碼平臺，其實像阿裡雲，騰訊雲上面也可以。 首先我們先去 互億無線 https://www.ihuyi.com/api/sms.html 去註冊一個賬號 註冊完成賬號後，它會送 ...
  • 第28篇 如何.net中實現高效可靠數據同步api
    通過以下方式可以高效，並保證數據同步的可靠性 1.API設計 使用RESTful設計，確保API端點明確，並使用適當的HTTP方法（如POST用於創建，PUT用於更新）。 設計清晰的請求和響應模型，以確保客戶端能夠理解預期格式。 2.數據驗證 在伺服器端進行嚴格的數據驗證，確保接收到的數據符合預期格 ...
所有分類