java RBAC @RolesAllowed实现原理和JWT

星月夜_C

已于 2024-09-08 15:54:03 修改

阅读量296

点赞数 1

文章标签： java 开发语言

于 2024-09-05 00:37:15 首次发布

本文链接：https://blog.csdn.net/m0_69504323/article/details/141907345

版权

jakarta.annotation.security.*有个注解@RolesAllowed，专门用来做 RBAC (Role-base Access Control) 的。我们可以把它注解RESTful层的方法来限制访问，如POST、DELETE、PUT方法的一些危险操作：

@Path("/user")
@Produces(MediaType.APPLICATION_JSON)
public class UserResource {
	@Inject
	private UserService srv;
	
	@POST
	@Consumes(MediaType.APPLICATION_JSON)
	@RolesAllowed({"User", "Admin"})
	public void add(User user) {
		srv.persist(user);
	}
}

给UserResource#add方法注解后，每次请求这个方法都会检查用户传过来的JWT（JSON Web Token）加密令牌的groups字段是否包含User或者Adminrole

什么是JWT？

JWT是一种加密身份验证技术，是一串Base64URL编码，它大概长这样：请添加图片描述

JWT 的结构

JWT 以.分隔，分为三个字段，分别是：

header（头部）
payload（负载）
signature（签名）

<header>.<payload>.<signature>

头部结构

（解密后的）

{
	"typ": "JWT",
 	"alg": "RS256"
}

typ（type）：类型
alg（algorithm）：指示加密算法

负载结构

（解密后的）是最重要的字段，以键值对形式承载着用户数据

{
  "iss": "https://example.com/issuer",
  "iat": 1725505766,
  "exp": 1725506066,
  "jti": "325bcbfc-dd0f-4217-8cb8-ebf5090b0c5d",
  ... 还有一些非标准的字段
  "upn": "jdoe@quarkus.io", 这个是非标准字段
}

payload有以下字段
iss（issuer）：签发者，一般为网站URL
sub（subject）：主题，一般是UUID
aud（audience）：接收者
nbf（notBefore）：生效时间，令牌在此之前不可用
iat（issuedAt）：签发时间
exp（expiresAt）：过期时间
jti（jwtId）：令牌的唯一标识符，一般用于防止重放攻击。
upn（userPrincipalName）：非标准字段，Jakarta EE定义，用来传输用户信息（如用户名），可以用安全上下文
fn(@Context SecurityContext ctx) { ctx.getUserPrincipal().getName() }获取

签名结构

签名用于验证消息的发送方和消息的完整性。没啥需了解的。

回过来，@RolesAllowed会检查传过来的JWT的groups，如果不包含，返回Unauthorized

譬如：

@RequestScoped
@DeclareRoles({"Admin", "User", "Guest"})
@Path("/secured")
public class SecuredResource {

	@GET
	@RolesAllowed({"Admin", "User"}) // <-- 看这里
	@Produces(MediaType.TEXT_PLAIN)
	public String secured() {
		return "Authenticated!";
	}
}

如果我的请求的JWT payload为：

{
	...
	groups: ["Guest"]
}

请求这个接口就会报错 401 Unauthorized
如果为：

{
	...
	groups: ["User"]
}

就可以访问。

我用的是Quarkus框架的quarkus-smallrye-jwt和quarkus-smallrye-jwt-build实现。这个实现指定的是JWT的groups字段，我不知道这是不是Jakarta EE规范中的一部分还是实现自定义。

怎么通过HTTP传递令牌？

包含在HTTP请求中：JWT令牌可以通过HTTP请求传递：

Authorization: Bearer <JWT>

自动添加请求头：我们可以在前端设置全局拦截器，这样子所有的请求都会自动发送

// JQuery
$.ajaxSetup({
  beforeSend: xhr => {
  	const token = localStorage.getItem('authToken')
  	if (token) {
  	  xhr.setRequestHeader('Authorization', `Bearer ${token}`)
  	}
  }
})

// Axios.js
axios.interceptors.request.use(config => {
  const token = localStorage.getItem('authToken');
  if (token) {
    config.headers.Authorization = 'Bearer ' + token;
  }
  return config;
}, err => Promise.reject(err));

如何向客户端发送并使其保存令牌？

向用户发送了JWT，怎么让客户端储存？

保存在localStorage：不容易收到CSRF，但容易受到XSS攻击
保存在sessionStorage：关闭浏览器就会清除，容易受到XSS攻击
保存在cookies：可以设置SameSite为strict以防止CSRF，httpOnly为true防止XSS——最推荐

import jakarta.ws.rs.core.NewCookie;

import java.util.concurrent.TimeUnit;

public class Cookies {
	public static NewCookie withToken(String name, String token) {
		return new NewCookie.Builder(name).value(token)
				.expiry(TimeUnit.DAYS.toSeconds(7))
				.httpOnly(true)
				.setPath("/")
				.sameSite(NewCookie.SameSiteStrict)
				.build();
	}
}

@Path("/xxx")
@Produces(MediaType.APPLICATION_JSON)
public class XXXResource {
	public Response validate() {
		return Response.ok()
				.cookie(Cookies.withToken("jwt", Tokens.withRoles("User")))
				;
	}
}

生成一段带有Admin, User权限的JWT（Quarkus环境）：

/src/main/resources/application.properties配置

mp.jwt.verify.publickey.location=publicKey.pem
mp.jwt.verify.issuer=https://example.com/issuer
smallrye.jwt.sign.key.location=privateKey.pem

import io.smallrye.jwt.build.Jwt;

@Test
public void echoJwt() {
	System.out.println(generateToken("User", "Admin"));
}

public static String generateTokem(String... roles) {
	return Jwt.issuer("https://example.com/issuer")
			.upn("jdoe@quarkus.io")
			.groups(List.of(roles))
			.sign();
}

然后就可以测试了

curl -X POST localhost:8080/user -H "Content-Type: application/json" -H "Authorization: Bearer <你的jwt>"

JWT 令牌用法

设计一个POST /login：一旦验证通过，如果没有JWT，就向客服端发送JWT保存在Cookies中；如果有，直接从Cookie中抽取。

import io.smallrye.jwt.build.Jwt;

public class JWT {
	public static String withRole(String... roles) {
		return Jwt.issuer("https://example.com/issuer")
                .upn("jdoe@quarkus.io")
                .groups(roles)
                .sign();
	}
}

@Path("/login")
public class LoginResource {
	private static final String COOKIE_JWT_KEY = "jwt";

	@Inject ...

	@POST
	@Consumes(MediaType.APPLICATION_JSON)
	public Response login(@Context SecurityContext ctx, 
	                      @CookieParam(COOKIE_JWT_KEY) String jwt,
	                      User user) {
		if (jwt == null) {
			return Response.noContent()
					.location("登入界面")
					.cookie(new NewCookie.Builder(COOKIE_JWT_KEY).value(JWT.withRole("User", "Admin")))
					.build();
		} else if (validate(jwt)) {
			return Response.noContent()
					location("登入界面");
					.build();
		} else {
			throw new ForbiddenException();
		}
		// 这样获取 JWT upn 声明
		ctx.getUserPrincipal() // -> java.security.Principal
			.getName(); // -> String
		
	}
}

如何获取

完整版看 https://quarkus.io/guides/security-jwt

Quarkus 集成

Quarkus CLI

quarkus extension add quarkus-smallrye-jwt
quarkus extension add quarkus-smallrye-build

/src/main/resources/application.properties

mp.jwt.verify.publickey.location=publicKey.pem
mp.jwt.verify.issuer=https://example.com/issuer

smallrye.jwt.sign.key.location=privateKey.pem

/src/main/resources/publicKey.pem

/src/main/resources/privateKey.pem

生成私钥和公钥

# 生成一个长度为 2048 的私钥，2048 是业内推荐长度
openssl genrsa -out privateKey.pem 2048

# 从私钥中提取公钥
openssl rsa -pubout -in privateKey.pem -out publicKey.pem

星月夜_C

关注

1
点赞
踩
2

收藏

觉得还不错? 一键收藏
0
评论
java RBAC @RolesAllowed实现原理和JWT

专门用来做 RBAC (Role-base Access Control) 的。字段，我不知道这是不是Jakarta EE规范中的一部分还是实现自定义。这就要用到**JWT（JSON Web Token）**了。（JWT ID）：令牌的唯一标识符，一般用于防止重放攻击。（not before）：生效时间，令牌在此之前不可用。（issuer）：签发者，一般为网站URL。（subject）：主题，一般是UUID。（issued at）：签发时间。这个实现指定的是JWT的。（expire）：过期时间。
复制链接

扫一扫