2024年Spring Boot 2 + Spring Security 5 + JWT 的 Restful简易教程！，Java开发教程

总结

虽然我个人也经常自嘲，十年之后要去成为外卖专员，但实际上依靠自身的努力，是能够减少三十五岁之后的焦虑的，毕竟好的架构师并不多。

架构师，是我们大部分技术人的职业目标，一名好的架构师来源于机遇(公司)、个人努力(吃得苦、肯钻研)、天分(真的热爱)的三者协作的结果，实践+机遇+努力才能助你成为优秀的架构师。

如果你也想成为一名好的架构师，那或许这份Java成长笔记你需要阅读阅读，希望能够对你的职业发展有所帮助。

本文已被CODING开源项目：【一线大厂Java面试题解析+核心总结学习笔记+最新讲解视频+实战项目源码】收录

需要这份系统化的资料的朋友，可以点击这里获取

接下来准备下几个基础工作，就是新建个实体、模拟个数据库，写个 JWT 工具类这种基础操作。

UserEntity.java

关于 role 为什么使用 GrantedAuthority 说明下：其实是为了简化代码，直接用了 Security 现成的 role 类，实际项目中我们肯定要自己进行处理，将其转换为 Security 的 role 类。

public class UserEntity {

public UserEntity(String username, String password, Collection<? extends GrantedAuthority> role) {

this.username = username;

this.password = password;

this.role = role;

}

private String username;

private String password;

private Collection<? extends GrantedAuthority> role;

public String getUsername() {

return username;

}

public void setUsername(String username) {

this.username = username;

}

public String getPassword() {

return password;

}

public void setPassword(String password) {

this.password = password;

}

public Collection<? extends GrantedAuthority> getRole() {

return role;

}

public void setRole(Collection<? extends GrantedAuthority> role) {

this.role = role;

}

}

ResponseEntity.java

前后端分离为了方便前端我们要统一 json 的返回格式，所以自定义一个 ResponseEntity.java。

public class ResponseEntity {

public ResponseEntity() {

}

public ResponseEntity(int status, String msg, Object data) {

this.status = status;

this.msg = msg;

this.data = data;

}

private int status;

private String msg;

private Object data;

public int getStatus() {

return status;

}

public void setStatus(int status) {

this.status = status;

}

public String getMsg() {

return msg;

}

public void setMsg(String msg) {

this.msg = msg;

}

public Object getData() {

return data;

}

public void setData(Object data) {

this.data = data;

}

}

Database.java

这里我们使用一个 HashMap 模拟了一个数据库，密码我已经预先用 Bcrypt 加密过了，这也是 Spring Security 官方推荐的加密算法（MD5 加密已经在 Spring Security 5 中被移除了，不安全）。

| 用户名 | 密码 | 权限 |

| — | — | — |

| jack | jack123 存 Bcrypt 加密后 | ROLE_USER |

| danny | danny123 存 Bcrypt 加密后 | ROLE_EDITOR |

| smith | smith123 存 Bcrypt 加密后 | ROLE_ADMIN |

@Component

public class Database {

private Map<String, UserEntity> data = null;

public Map<String, UserEntity> getDatabase() {

if (data == null) {

data = new HashMap<>();

UserEntity jack = new UserEntity(

“jack”,

“$2a$10$AQol1A.LkxoJ5dEzS5o5E.QG9jD.hncoeCGdVaMQZaiYZ98V/JyRq”,

getGrants(“ROLE_USER”));

UserEntity danny = new UserEntity(

“danny”,

“$2a$10$8nMJR6r7lvh9H2INtM2vtuA156dHTcQUyU.2Q2OK/7LwMd/I.HM12”,

getGrants(“ROLE_EDITOR”));

UserEntity smith = new UserEntity(

“smith”,

“$2a$10$E86mKigOx1NeIr7D6CJM3OQnWdaPXOjWe4OoRqDqFgNgowvJW9nAi”,

getGrants(“ROLE_ADMIN”));

data.put(“jack”, jack);

data.put(“danny”, danny);

data.put(“smith”, smith);

}

return data;

}

private Collection getGrants(String role) {

return AuthorityUtils.commaSeparatedStringToAuthorityList(role);

}

}

UserService.java

这里再模拟一个 service，主要就是模仿数据库的操作。

@Service

public class UserService {

@Autowired

private Database database;

public UserEntity getUserByUsername(String username) {

return database.getDatabase().get(username);

}

}

JwtUtil.java

自己编写的一个工具类，主要负责 JWT 的签名和鉴权。

public class JwtUtil {

// 过期时间5分钟

private final static long EXPIRE_TIME = 5 * 60 * 1000;

/**

* 生成签名,5min后过期

* @param username 用户名

* @param secret 用户的密码

* @return 加密的token

*/

public static String sign(String username, String secret) {

Date expireDate = new Date(System.currentTimeMillis() + EXPIRE_TIME);

try {

Algorithm algorithm = Algorithm.HMAC256(secret);

return JWT.create()

.withClaim(“username”, username)

.withExpiresAt(expireDate)

.sign(algorithm);

} catch (Exception e) {

return null;

}

}

/**

* 校验token是否正确

* @param token 密钥

* @param secret 用户的密码

* @return 是否正确

*/

public static boolean verify(String token, String username, String secret) {

try {

Algorithm algorithm = Algorithm.HMAC256(secret);

JWTVerifier verifier = JWT.require(algorithm)

.withClaim(“username”, username)

.build();

DecodedJWT jwt = verifier.verify(token);

return true;

} catch (Exception e) {

return false;

}

}

/**

* 获得token中的信息无需secret解密也能获得

* @return token中包含的用户名

*/

public static String getUsername(String token) {

try {

DecodedJWT jwt = JWT.decode(token);

return jwt.getClaim(“username”).asString();

} catch (JWTDecodeException e) {

return null;

}

}

}

Spring Security 改造

---

登入这块，我们使用自定义的 JwtAuthenticationFilter 来进行登入。

请求鉴权，我们使用自定义的 JwtAuthorizationFilter 来处理。

也许大家觉得两个单词长的有点像，???。

UserDetailsServiceImpl.java

我们首先实现官方的 UserDetailsService 接口，这里主要负责一个从数据库拿数据的操作。

@Service

public class UserDetailsServiceImpl implements UserDetailsService {

@Autowired

private UserService userService;

@Override

public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {

UserEntity userEntity = userService.getUserByUsername(username);

if (userEntity == null) {

throw new UsernameNotFoundException(“This username didn’t exist.”);

}

return new User(userEntity.getUsername(), userEntity.getPassword(), userEntity.getRole());

}

}

后序我们还需要对其进行缓存改造，不然每次请求都要从数据库拿一次数据鉴权，对数据库压力太大了。

JwtAuthenticationFilter.java

这个过滤器主要处理登入操作，我们继承了 UsernamePasswordAuthenticationFilter，这样能大大简化我们的工作量。

public class JwtAuthenticationFilter extends UsernamePasswordAuthenticationFilter {

/*

过滤器一定要设置 AuthenticationManager，所以此处我们这么编写，这里的 AuthenticationManager

我会从 Security 配置的时候传入

*/

public JwtAuthenticationFilter(AuthenticationManager authenticationManager) {

/*

运行父类 UsernamePasswordAuthenticationFilter 的构造方法，能够设置此滤器指定

方法为 POST [\login]

*/

super();

setAuthenticationManager(authenticationManager);

}

@Override

public Authentication attemptAuthentication(HttpServletRequest request, HttpServletResponse response) throws AuthenticationException {

// 从请求的 POST 中拿取 username 和 password 两个字段进行登入

String username = request.getParameter(“username”);

String password = request.getParameter(“password”);

UsernamePasswordAuthenticationToken token = new UsernamePasswordAuthenticationToken(username, password);

// 设置一些客户 IP 啥信息，后面想用的话可以用，虽然没啥用

setDetails(request, token);

// 交给 AuthenticationManager 进行鉴权

return getAuthenticationManager().authenticate(token);

}

/*

鉴权成功进行的操作，我们这里设置返回加密后的 token

*/

@Override

protected void successfulAuthentication(HttpServletRequest request, HttpServletResponse response, FilterChain chain, Authentication authResult) throws IOException, ServletException {

handleResponse(request, response, authResult, null);

}

/*

鉴权失败进行的操作，我们这里就返回 用户名或密码错误 的信息

*/

@Override

protected void unsuccessfulAuthentication(HttpServletRequest request, HttpServletResponse response, AuthenticationException failed) throws IOException, ServletException {

handleResponse(request, response, null, failed);

}

private void handleResponse(HttpServletRequest request, HttpServletResponse response, Authentication authResult, AuthenticationException failed) throws IOException, ServletException {

ObjectMapper mapper = new ObjectMapper();

ResponseEntity responseEntity = new ResponseEntity();

response.setHeader(“Content-Type”, “application/json;charset=UTF-8”);

if (authResult != null) {

// 处理登入成功请求

User user = (User) authResult.getPrincipal();

String token = JwtUtil.sign(user.getUsername(), user.getPassword());

responseEntity.setStatus(HttpStatus.OK.value());

responseEntity.setMsg(“登入成功”);

responseEntity.setData("Bearer " + token);

response.setStatus(HttpStatus.OK.value());

response.getWriter().write(mapper.writeValueAsString(responseEntity));

} else {

// 处理登入失败请求

responseEntity.setStatus(HttpStatus.BAD_REQUEST.value());

responseEntity.setMsg(“用户名或密码错误”);

responseEntity.setData(null);

response.setStatus(HttpStatus.BAD_REQUEST.value());

response.getWriter().write(mapper.writeValueAsString(responseEntity));

}

}

}

private void handleResponse() 此处处理的方法不是很好，我的想法是跳转到控制器中进行处理，但是这样鉴权成功的 token 带不过去，所以先这么写了，有点复杂。

JwtAuthorizationFilter.java

这个过滤器处理每个请求鉴权，我们选择继承 BasicAuthenticationFilter ，考虑到 Basic 认证和 JWT 比较像，就选择了它。

public class JwtAuthorizationFilter extends BasicAuthenticationFilter {

private UserDetailsService userDetailsService;

// 会从 Spring Security 配置文件那里传过来

public JwtAuthorizationFilter(AuthenticationManager authenticationManager, UserDetailsService userDetailsService) {

super(authenticationManager);

this.userDetailsService = userDetailsService;

}

@Override

protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain chain) throws IOException, ServletException {

// 判断是否有 token，并且进行认证

Authentication token = getAuthentication(request);

if (token == null) {

chain.doFilter(request, response);

return;

}

// 认证成功

SecurityContextHolder.getContext().setAuthentication(token);

chain.doFilter(request, response);

}

private UsernamePasswordAuthenticationToken getAuthentication(HttpServletRequest request) {

String header = request.getHeader(“Authorization”);

if (header == null || ! header.startsWith("Bearer ")) {

return null;

}

String token = header.split(" ")[1];

String username = JwtUtil.getUsername(token);

UserDetails userDetails = null;

try {

userDetails = userDetailsService.loadUserByUsername(username);

} catch (UsernameNotFoundException e) {

return null;

}

if (! JwtUtil.verify(token, username, userDetails.getPassword())) {

return null;

}

return new UsernamePasswordAuthenticationToken(userDetails, null, userDetails.getAuthorities());

}

}

SecurityConfiguration.java

此处我们进行 Security 的配置，并且实现缓存功能。缓存这块我们使用官方现成的 CachingUserDetailsService ，唯独的缺点就是它没有 public 方法，我们不能正常实例化，需要曲线救国，下面代码也有详细说明。

// 开启 Security

@EnableWebSecurity

// 开启注解配置支持

@EnableGlobalMethodSecurity(securedEnabled = true, prePostEnabled = true)

public class SecurityConfiguration extends WebSecurityConfigurerAdapter {

@Autowired

private UserDetailsServiceImpl userDetailsServiceImpl;

// Spring Boot 的 CacheManager，这里我们使用 JCache

@Autowired

private CacheManager cacheManager;

@Override

protected void configure(HttpSecurity http) throws Exception {

// 开启跨域

http.cors()

.and()

// security 默认 csrf 是开启的，我们使用了 token ，这个也没有什么必要了

.csrf().disable()

.authorizeRequests()

// 默认所有请求通过，但是我们要在需要权限的方法加上安全注解，这样比写死配置灵活很多

.anyRequest().permitAll()

.and()

// 添加自己编写的两个过滤器

.addFilter(new JwtAuthenticationFilter(authenticationManager()))

.addFilter(new JwtAuthorizationFilter(authenticationManager(), cachingUserDetailsService(userDetailsServiceImpl)))

// 前后端分离是 STATELESS，故 session 使用该策略

.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS);

}

// 此处配置 AuthenticationManager，并且实现缓存

@Override

protected void configure(AuthenticationManagerBuilder auth) throws Exception {

// 对自己编写的 UserDetailsServiceImpl 进一步包装，实现缓存

CachingUserDetailsService cachingUserDetailsService = cachingUserDetailsService(userDetailsServiceImpl);

// jwt-cache 我们在 ehcache.xml 配置文件中有声明

UserCache userCache = new SpringCacheBasedUserCache(cacheManager.getCache(“jwt-cache”));

cachingUserDetailsService.setUserCache(userCache);

/*

security 默认鉴权完成后会把密码抹除，但是这里我们使用用户的密码来作为 JWT 的生成密钥，

如果被抹除了，在对 JWT 进行签名的时候就拿不到用户密码了，故此处关闭了自动抹除密码。

*/

auth.eraseCredentials(false);

auth.userDetailsService(cachingUserDetailsService);

}

@Bean

public PasswordEncoder passwordEncoder() {

return new BCryptPasswordEncoder();

}

/*

此处我们实现缓存的时候，我们使用了官方现成的 CachingUserDetailsService ，但是这个类的构造方法不是 public 的，

我们不能够正常实例化，所以在这里进行曲线救国。

*/

private CachingUserDetailsService cachingUserDetailsService(UserDetailsServiceImpl delegate) {

Constructor ctor = null;

try {

ctor = CachingUserDetailsService.class.getDeclaredConstructor(UserDetailsService.class);

} catch (NoSuchMethodException e) {

e.printStackTrace();

}

Assert.notNull(ctor, “CachingUserDetailsService constructor is null”);

ctor.setAccessible(true);

return BeanUtils.instantiateClass(ctor, delegate);

}

}

总结

三个工作日收到了offer，头条面试体验还是很棒的，这次的头条面试好像每面技术都问了我算法，然后就是中间件、MySQL、Redis、Kafka、网络等等。

• 第一个是算法

关于算法，我觉得最好的是刷题，作死的刷的，多做多练习，加上自己的理解，还是比较容易拿下的。

而且，我貌似是将《算法刷题LeetCode中文版》、《算法的乐趣》大概都过了一遍，尤其是这本

《算法刷题LeetCode中文版》总共有15个章节：编程技巧、线性表、字符串、栈和队列、树、排序、查找、暴力枚举法、广度优先搜索、深度优先搜索、分治法、贪心法、动态规划、图、细节实现题

《算法的乐趣》共有23个章节：

• 第二个是Redis、MySQL、kafka（给大家看下我都有哪些复习笔记）

基本上都是面试真题解析、笔记和学习大纲图，感觉复习也就需要这些吧（个人意见）

• 第三个是网络（给大家看一本我之前得到的《JAVA核心知识整理》包括30个章节分类，这本283页的JAVA核心知识整理还是很不错的，一次性总结了30个分享的大知识点）

本文已被CODING开源项目：【一线大厂Java面试题解析+核心总结学习笔记+最新讲解视频+实战项目源码】收录

需要这份系统化的资料的朋友，可以点击这里获取

}

总结

三个工作日收到了offer，头条面试体验还是很棒的，这次的头条面试好像每面技术都问了我算法，然后就是中间件、MySQL、Redis、Kafka、网络等等。

• 第一个是算法

关于算法，我觉得最好的是刷题，作死的刷的，多做多练习，加上自己的理解，还是比较容易拿下的。

而且，我貌似是将《算法刷题LeetCode中文版》、《算法的乐趣》大概都过了一遍，尤其是这本

《算法刷题LeetCode中文版》总共有15个章节：编程技巧、线性表、字符串、栈和队列、树、排序、查找、暴力枚举法、广度优先搜索、深度优先搜索、分治法、贪心法、动态规划、图、细节实现题

[外链图片转存中…(img-owa3AyTv-1715007429189)]

《算法的乐趣》共有23个章节：

[外链图片转存中…(img-KyMVx7gX-1715007429190)]

[外链图片转存中…(img-5byJM4CP-1715007429190)]

• 第二个是Redis、MySQL、kafka（给大家看下我都有哪些复习笔记）

基本上都是面试真题解析、笔记和学习大纲图，感觉复习也就需要这些吧（个人意见）

[外链图片转存中…(img-YKQUpdto-1715007429190)]

• 第三个是网络（给大家看一本我之前得到的《JAVA核心知识整理》包括30个章节分类，这本283页的JAVA核心知识整理还是很不错的，一次性总结了30个分享的大知识点）

[外链图片转存中…(img-G3OmqmLy-1715007429191)]

本文已被CODING开源项目：【一线大厂Java面试题解析+核心总结学习笔记+最新讲解视频+实战项目源码】收录

需要这份系统化的资料的朋友，可以点击这里获取