SpringBoot2+SpringSecurity+JWT完成安全认证

最新推荐文章于 2023-06-20 22:48:15 发布
最新推荐文章于 2023-06-20 22:48:15 发布
阅读量2.5k 收藏 12
点赞数 3
分类专栏： springboot 文章标签： spring boot jwt
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/cheng137666/article/details/110194222
版权

SpringBoot2+SpringSecurity+JWT完成安全认证

1. 写在前面

如何你能看到这边文章，那我觉得我也不需要多废话，文章里面的东西你自然可以看懂。此篇文章只介绍整合过程，不介绍原理，适合懂原理想快速搭建环境的人儿们。
  先晒一下项目目录：在这里插入图片描述

2. pom.xml

     <parent>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-parent</artifactId>
        <version>2.0.1.RELEASE</version>
    </parent>
    <dependencies>
        <!--        jwt相关依赖-->
        <dependency>
            <groupId>io.jsonwebtoken</groupId>
            <artifactId>jjwt-api</artifactId>
            <version>0.10.8</version>
        </dependency>
        <dependency>
            <groupId>io.jsonwebtoken</groupId>
            <artifactId>jjwt-impl</artifactId>
            <version>0.10.8</version>
        </dependency>
        <dependency>
            <groupId>io.jsonwebtoken</groupId>
            <artifactId>jjwt-jackson</artifactId>
            <version>0.10.8</version>
        </dependency>

        <!--        spring security-->
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-security</artifactId>
        </dependency>

        <!--        spring web-->
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-web</artifactId>
        </dependency>

        <!--        lombok-->
        <dependency>
            <groupId>org.projectlombok</groupId>
            <artifactId>lombok</artifactId>
            <version>1.18.8</version>
        </dependency>
    </dependencies>

3. application.yml

server:
  port: 7100

jwt:
  #http请求头
  header: Authorization
  #token起始标识
  start-with: Bearer
  #秘钥
  secret-key: MFwwDQYJKoZIhvcNAQEBBQADSwAwSAJBAKiuOGSVzac1HH5x3cboD0KapCayatw4G6W59E9Vez6fwix2g5hUFmzRknoZiDREuAXkVi1MqAiQ7Wf8MqqPDvsCAwEAAQ==
  #过期时间 单位/秒
  validate-second: 43200

4. 创建配置类，映射yml中的变量

/**
 * @author : LCheng
 * @date : 2020-11-26 16:52
 * description : jwt配置参数
 */
@Data
@ConfigurationProperties(prefix = "jwt")
@Configuration
public class JwtProperties {

    /**
     * http请求头
     */
    private String header;

    /**
     * token起始标识
     */
    private String startWith;

    /**
     * token秘钥
     */
    private String secretKey;

    /**
     * token过期时间 单位/秒
     */
    private Long validateSecond;
}

5. 创建AccessDeniedHandler类

SecurityAccessDeniedHandler 用来处理无访问权限的请求，这里只是返回403的操作，可以根据系统来开发相应的功能

/**
 * @author : LCheng
 * @date : 2020-11-26 16:56
 * description : 无访问权限处理类
 */
@Component
public class SecurityAccessDeniedHandler implements AccessDeniedHandler {
    @Override
    public void handle(HttpServletRequest request, HttpServletResponse response, AccessDeniedException accessDeniedException) throws IOException {
        //根据系统要求开发功能代码
        response.sendError(HttpServletResponse.SC_FORBIDDEN, "您的权限不足。");
    }
}

6.创建AuthenticationEntryPoint类

SecurityAuthenticationEntryPoint 用来处理认证失败的请求，这里只是返回401的操作，可以根据系统来开发相应的功能

/**
 * @author : LCheng
 * @date : 2020-11-26 16:58
 * description : 认证失败处理类
 */
@Component
public class SecurityAuthenticationEntryPoint implements AuthenticationEntryPoint {
    @Override
    public void commence(HttpServletRequest request, HttpServletResponse response, AuthenticationException authException) throws IOException {
        //根据系统要求开发功能代码
        response.sendError(HttpServletResponse.SC_UNAUTHORIZED, "认证失败。");
    }
}

7.创建jwt工具类


/**
 * @author : LCheng
 * @date : 2020-11-26 16:59
 * description : jwt工具
 */
@Component
@Slf4j
public class JwtUtil {

    @Autowired
    private JwtProperties jwtProperties;

    public static final String USER_KEY = "user";

    /**
     * 从request中获取token
     *
     * @param request
     * @return {@link String}
     * @author LCheng
     * @date 2020/11/26 17:15
     */
    public String getToken(HttpServletRequest request) {
        String token = "";
        String bearerToken = request.getHeader(jwtProperties.getHeader());
        if (StringUtils.hasText(bearerToken) && bearerToken.startsWith(jwtProperties.getStartWith())) {
            token = bearerToken.substring(jwtProperties.getStartWith().length());
        }
        return token;
    }

    /**
     * 根据token获取AuthenticationToken
     *
     * @param token
     * @return {@link UsernamePasswordAuthenticationToken}
     * @author LCheng
     * @date 2020/11/26 18:16
     */
    public UsernamePasswordAuthenticationToken getAuthentication(String token) {
        Claims claims = validate(token);
        if (claims == null) {
            return null;
        }
        
        HashMap map = (HashMap) claims.get(USER_KEY);
        Collection<? extends GrantedAuthority> authorities =
                ((List<Map<String, String>>) map.get("authorities")).stream()
                        .map(a -> new SimpleGrantedAuthority(a.get("authority")))
                        .collect(Collectors.toList());
        User principal = new User((String) map.get("username"), "", authorities);
        return new UsernamePasswordAuthenticationToken(principal, "", authorities);
    }

    /**
     * 生成jwt
     *
     * @param user
     * @author LCheng
     * @date 2020/11/26 17:15
     */
    public String generate(User user) {
        String token = Jwts.builder()
                .claim(USER_KEY, user)
                .setIssuedAt(new Date())
                .setExpiration(new Date(System.currentTimeMillis() + jwtProperties.getValidateSecond() * 1000))
                .signWith(SignatureAlgorithm.HS256, jwtProperties.getSecretKey()).compact();
        return token;
    }


    /**
     * 校验token
     *
     * @param token
     * @return {@link java.lang.Boolean}
     * @author LCheng
     * @date 2020/11/26 17:16
     */
    public Claims validate(String token) {
        try {
            return Jwts.parser().setSigningKey(jwtProperties.getSecretKey()).parseClaimsJws(token).getBody();
        } catch (Exception e) {
            e.printStackTrace();
            return null;
        }
    }

}

8.创建SecurityAuthenticationTokenFilter

此过滤器用来拦截请求，并解析token，并将解析的用户信息保存到spring security作用域中

/**
 * @author : LCheng
 * @date : 2020-11-21 14:36
 * description : token验证的过滤器
 */
@Slf4j
@Component
public class SecurityAuthenticationTokenFilter extends OncePerRequestFilter {

    @Autowired
    private JwtUtil jwtUtil;

    @Override
    protected void doFilterInternal(HttpServletRequest httpServletRequest, HttpServletResponse httpServletResponse, FilterChain filterChain) throws ServletException, IOException {
        String token = jwtUtil.getToken(httpServletRequest);
        //判断token是否有效
        if (StringUtils.hasText(token)) {
            //创建AuthenticationToken
            UsernamePasswordAuthenticationToken authentication = jwtUtil.getAuthentication(token);
            if (authentication != null) {
                SecurityContextHolder.getContext().setAuthentication(authentication);
            }
        } else {
            log.debug("token无效。");
        }
        filterChain.doFilter(httpServletRequest, httpServletResponse);
    }
}

9.配置项目中用到的bean


/**
 * @author : LCheng
 * @date : 2020-11-26 17:30
 * description : bean
 */
@Component
public class BeanConfig {

    @Bean
    public FilterRegistrationBean registration(SecurityAuthenticationTokenFilter filter) {
        FilterRegistrationBean registration = new FilterRegistrationBean(filter);
        registration.setEnabled(false);
        return registration;
    }

    /**
     * 使用BCrypt进行加密
     *
     * @return {@link PasswordEncoder}
     * @author LCheng
     * @date 2020/11/26 17:57
     */
    @Bean
    public PasswordEncoder passwordEncoder() {
        return new BCryptPasswordEncoder();
    }
}

10.配置UserDetailService

这里是重中之重，所有登录验证功能都是在这里完成的

/**
 * 用户登录操作
 *
 * @author lCheng
 */
@Component
@Slf4j
public class SecurityUserDetailService implements UserDetailsService {

    @Autowired
    private PasswordEncoder passwordEncoder;

    @Override
    public UserDetails loadUserByUsername(String accountName) throws UsernameNotFoundException {
        log.info("登陆用户名：" + accountName);
        //这里进行用户验证 根据系统自行填写逻辑代码
        //因为是测试，这里所有用户密码默认设置为123
        return new User(accountName, passwordEncoder.encode("123"), AuthorityUtils.commaSeparatedStringToAuthorityList("ROLE_USER"));
    }
}

11.配置SecurityConfig

这里是重中之重中之重，没有他什么也跑不起来，各块代码的注释都已表明


/**
 * @author : LCheng
 * @date : 2020-11-21 14:43
 * description : spring security配置
 */
@Configuration
@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true, securedEnabled = true)
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private SecurityAccessDeniedHandler securityAccessDeniedHandler;

    @Autowired
    private SecurityAuthenticationEntryPoint securityAuthenticationEntryPoint;

    @Autowired
    private UserDetailsService userDetailsService;

    @Autowired
    private PasswordEncoder passwordEncoder;

    @Autowired
    private SecurityAuthenticationTokenFilter securityAuthenticationTokenFilter;

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        super.configure(auth);
        auth
                // 设置UserDetailsService
                .userDetailsService(userDetailsService)
                // 使用BCrypt进行加密
                .passwordEncoder(passwordEncoder);
    }

    @Override
    protected void configure(HttpSecurity httpSecurity) throws Exception {

        ExpressionUrlAuthorizationConfigurer<HttpSecurity>.ExpressionInterceptUrlRegistry config = httpSecurity
                // 禁用CSRF
                .csrf().disable()
                .exceptionHandling()
                //认证失败处理
                .authenticationEntryPoint(securityAuthenticationEntryPoint)
                //无权限处理
                .accessDeniedHandler(securityAccessDeniedHandler)
                // 不创建session 使用token不需要session
                .and()
                .sessionManagement()
                .sessionCreationPolicy(SessionCreationPolicy.STATELESS)
                .and()
                .authorizeRequests()
                // 登录url不验证
                .antMatchers("/login").permitAll()
                // OPTIONS请求不验证
                .antMatchers(HttpMethod.OPTIONS, "/**").permitAll();

        // 剩下所有请求都需要认证
        config.anyRequest().authenticated();

        // 禁用缓存
        httpSecurity.headers().cacheControl();
        // 添加JWT filter
        httpSecurity
                .addFilterBefore(securityAuthenticationTokenFilter, UsernamePasswordAuthenticationFilter.class);
    }

    @Bean
    @Override
    public AuthenticationManager authenticationManagerBean() throws Exception {
        return super.authenticationManagerBean();
    }
}

12.最后一步，配置一个测试控制器


/**
 * @author : LCheng
 * @date : 2020-11-26 17:44
 * description : 测试控制器
 */
@Slf4j
@RestController
public class TestController {

    @Autowired
    private AuthenticationManager authenticationManager;

    @Autowired
    private JwtUtil jwtUtil;

    @PostMapping(value = "/login")
    public String login(@RequestParam String username, @RequestParam String password) {
        //验证用户信息
        Authentication authentication = authenticationManager.authenticate(new UsernamePasswordAuthenticationToken(username, password));
        SecurityContextHolder.getContext().setAuthentication(authentication);
        //生成token
        User user = (User) authentication.getPrincipal();
        return jwtUtil.generate(user);
    }

    @GetMapping(value = "/hello")
    public String hello() {
        return "hello word";
    }
}

这里需要注意一下，SecurityConfig中有把 /login 放行，所以要与控制器中进行对应。

13.最最后一步，实践检验真理的最后一步

  首先这里要安利一个工具，谷歌浏览器的一个插件： Talend API Tester ，本人喜欢用这个而不是postman。
  接下来真是进入测试环节：

  1. 首先在没有token下，去访问 /hello，由于没有认证会因此返回认证失败。
    在这里插入图片描述
  2. 去访问登录接口 /login ，输入错误的密码（密码默认设置为123，在SecurityUserDetailService 有注释请自行查看），由于密码错误因此依然返回认证失败，正常系统会在SecurityUserDetailService 进行密码验证，就可返回自定义的错误信息。
    在这里插入图片描述
  3. 去访问登录接口 /login ，输入正确的密码，成功返回了token
    在这里插入图片描述
  4. 反正返回的token去再去访问 /hello ，你会发现已经可以正常访问了！
    在这里插入图片描述

结束语

至此所有整合过程已经完毕。
源码已上传至gitee 地址为：https://gitee.com/lonecheng/springboot-springsecurity-jwt

凉凉在上
关注
  • 3
    点赞
  • 踩
  • 12
    收藏
    觉得还不错? 一键收藏
  • 5
    评论
专栏目录
Spring Boot + Spring Security + JWT 从零开始
喵喵分享师
05-29 1198
这个LDAP服务器将在内存中保存所有信息，这对于开发目的来说就够了，当我们构建一个连接到这个本地LDAP服务器的应用程序时，我们所构建的东西可以轻松地指向一个真实的LDAP服务，然后仍然可以工作相同的方式。所以我要做的是去我的POM文件，添加一些依赖项。这篇笔记中，我们将学习如何从头开始设置一个带有Spring Security的Spring Boot应用程序，它连接到一个LDAP身份验证的Spring Security身份验证提供程序，这将是即将出现的，这个连接和工作都是开箱即用的。
SpringBoot + SpringSecurity + JWT认证
最新发布
Eden 的博客
08-13 132
JWT是一种用于双方之间传递安全信息的简洁的、URL安全的表述性声明规范。JWT作为一个开放的标准（ RFC 7519 ），定义了一种简洁的，自包含的方法用于通信双方之间以Json对象的形式安全的传递信息。因为数字签名的存在，这些信息是可信的，JWT可以使用HMAC算法或者是RSA的公私秘钥对进行签名。至此，spring-security 整合 jwt 认证 就已经完成了。负载中包含了所有用户所需要的信息，避免了多次查询数据库。application.properties 配置。简洁(Compact)
实战springboot+CAS单点登录系统
weixin_54106682的博客
06-20 3293
cas单点登录
SpringBoot 基于 OAuth2 统一身份认证流程详解
专注基础架构领域
12-23 9164
了解OAUTH2统一认证基本概念， 各种角色与协议流程， 了解OAUTH2支持的四种模式， 以及各种模式的不同应用场景。了解整体服务设计， 完成认证服务的搭建配置， 通过postman对功能进行验证， 实现TOKEN的申请与刷新功能。完成用户服务的配置的改进以及 Spring Security的集成， 核心类的处理实现；在整个项目中， 存在公用的地方， 要做统一处理， 比如统一异常和统一接口数据返回， 复用方便， 直观清晰， 便于维护与扩展。
spring boot2 + springsecurity5 + jwt 例子
神盾局码农
07-15 237
准备 开始本教程的时候希望对下面知识点进行粗略的了解。 知道 JWT 的基本概念 了解过 Spring Security 本项目中JWT密钥是使用用户自己的登入密码，这样每一个token的密钥都不同，相对比较安全。 大体思路： 登入： POST 用户名密码到 \login 请求到达JwtAuthenticationFilter中的attemptAuthentication()方法，获取 request 中的 POST 参数，包装成一个Usernam...
如何用 Spring Security 集成 CAS 认证 （二）
Authing的博客
09-05 2114
本篇主要介绍了 CAS 在认证过程中所需要的配置，以及在 Authing 平台如何配置和获取这一系列的配置的过程。本篇的配置，将为第三节项目的搭建和编码所使用，第三节将使用代码实现 Spring Security 集成 Authing CAS 认证的全过程。下一小结，主要讲解 Spring Security 集成 Authing CAS 项目编码认证（三）。更多关于 CAS 的知识，请关注 Authing 的技术博客。点击此处了解更多行业身份管理「解决方案」以及「最佳实践案例」。
基于SpringBoot2+MybatisPlus+SpringSecurity+jwt+redis+Vue的前后端商城系统源码
05-13
yshop基于当前流行技术组合的前后端分离商城系统： SpringBoot2+MybatisPlus+SpringSecurity+jwt+redis+Vue的前后端分离的商城系统， 包含分类、sku、运费模板、素材库、小程序直播、拼团、砍价、商户管理、 秒杀、...
Springboot+SpringSecurity+JWT实现用户登录和权限认证示例
08-19
主要介绍了Springboot+SpringSecurity+JWT实现用户登录和权限认证示例，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧
SpringBoot+Mybatis+SpringSecurity+JWT
09-12
在本项目中，我们主要探讨的是如何利用SpringBoot、Mybatis、SpringSecurity和JWT（JSON Web Token）构建一个完整的权限管理和登录管理系统。SpringBoot作为现代Java应用开发的框架，简化了项目的配置，使得开发更加...
Springboot整合Spring security+Oauth2+JWT搭建认证服务器，网关，微服务之间权限认证及授权
03-24
Springboot整合Spring security+Oauth2+JWT搭建认证服务器，网关，微服务之间权限认证及授权。 OAuth2是一个关于授权的开放标准，核心思路是通过各类认证手段（具体什么手段OAuth2不关心）认证用户身份，并颁发...
springboot+security+jwt+mybaits-plus+mysql实现权限管理
03-13
2. Spring Security：这是一个强大的安全框架，用于处理Web应用的安全问题，如认证和授权。在这个项目中，Spring Security被用来进行用户登录验证、权限控制和访问限制，确保只有经过身份验证和授权的用户才能访问...
SpringBoot+Security+Cas
09-07
SpringBoot+Security+Cas 的一个Demo，想学习的可以参考下
Spring Boot+Spring Security+CAS实现单点登录
轻松的小希
01-23 4238
目录第一章 CAS的概述1.1、SSO1.2、CAS第二章 CAS的流程2.1、CAS服务端2.2、CAS客户端2.3、CAS流程图第三章 CAS的部署3.1、源码下载3.2、源码打包3.3、部署运行第四章 CAS的定制4.1、定制数据源4.2、兼容 HTTP4.3、定制登录页第五章 CAS的集成5.1、工程创建5.2、导入依赖5.3、修改包名5.4、编写配置文件5.5、编写角色授权5.6、编写配置对象5.7、编写控制器类5.8、启动项目测试 配套资料，免费下载 链接：https://pan.baidu.
这个是springboot整合关联cas的版本-------------个人觉得差不多
xiaoyutongxue6的博客
10-16 1438
1.cas单点登录介绍 单点登录（ Single Sign-On , 简称 SSO ）是目前比较流行的服务于企业业务整合的解决方案之一， SSO 使得在多个应用系统中，用户只需要 登录一次 就可以访问所有相互信任的应用系统。 从结构体系看， CAS 包括两部分： CAS Server 和 CAS Client 。 CAS Server  CAS Server 负责完成对用户的认证工作 , 需要独...
springboot+springsecurity+mybatis+JWT+Redis 实现前后端离（实战篇）
zzxzzxhao的博客
10-26 5万+
写在开头：这篇是实战篇，即默认各位看官具备相应的基础 目录 一、springboot 1.新建项目 2.application.yml的配置 3.写一个小demo 二、druid 三、springsecurity 1.引入相关依赖 2.写了几个工具类 3.实现springsecurity各个核心接口，处理用户各种状态 2.权限访问控制 3.jwt生成token的工具类 4...
Springboot+Spring-Security+JWT+Redis实现restful Api的权限管理以及token管理（超详细用爱发电版）
热门推荐
ech13an的博客
06-24 7万+
前言 其实挺早就想写一篇关于jwt的博文去好好总结一下之前踩过的坑了，但是事情有点太多了，一直没抽出时间来写，刚好现在有点时间可以好好静下来写一遍(可能)有点质量的博文吧，毕竟一直都是看别人的博文去学习，我也好好写一遍吧哈哈。既然如果偶然搜到这篇文章的话，我相信大家应该都了解了什么是jwt，比较想知道怎么使用springboot+spring-security去实现，当然也可以使用shiro，其...
SpringBoot整合Spring Security + JWT实现用户认证
leveretz的博客
07-13 1627
SpringBoot整合Spring Security + JWT实现用户认证
Spring Security：身份验证令牌Authentication介绍与Debug分析
kaven
01-21 1万+
在Spring Security中，通过Authentication来封装用户的验证信息以及用户验证实现，Authentication可以是需要验证和已验证的用户信息封装。接下来，博主介绍Authentication接口及其实现类。 Authentication Authentication接口源码（Authentication接口继承Principal接口，Principal接口表示主体的抽象概念，可用于表示任何实体）： package org.springframework.security.core;
基于Spring Boot2 + Spring Security OAuth2 实现单点登陆(一)
火星人专栏
03-30 3万+
关于OAuth2的基本介绍：点这里 Spring Security 5.0开始对密码相关内容做了修改，具体查看这里 实现一个最基本的OAuth2认证 项目使用3个独立的工程分别实现认证服务、资源服务器和单点登陆服务器 源码地址 添加项目依赖 allprojects { apply plugin: 'idea' apply plugin: 'java' }...
Springboot 3 + Spring Security 6 +jwt 项目配置
05-26
好的，下面是Spring Boot 3 + Spring Security 6 + JWT的项目配置步骤： 1. 添加Spring Security和JWT的依赖 在pom.xml文件中添加以下依赖： ``` <groupId>org.springframework.boot <artifactId>spring-boot-...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 5
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值