JWT的使用，以及在springboot项目中配置token和拦截验证

已于 2024-06-14 13:00:29 修改
阅读量294 收藏 1
点赞数 1
文章标签： spring boot java 数据库 后端
于 2024-06-13 23:42:44 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_73512487/article/details/139666542
版权

前置工作

controller类

由于是简单介绍，所以不会使用service和mapper。

@RestController
public class UserController {

    @GetMapping("/health")
    public String healthCheck() {
        return "OK";
    }
    @GetMapping("/login")
    public String login() {
        Map<String, Object> map = new HashMap<>();
        map.put("id",1);
        map.put("name","username");
        String token = JwtUtil.creatToken(map, JwtProperties.EXPIRET_TIME, JwtProperties.SECRET_KEY);
        return "token = " + token;
    }
}

 jwt配置类

把jwt令牌的签名秘钥和过期时间等解耦出来，下面还会有更好的写法。

public class JwtProperties {

    /**
     * jwt令牌相关配置
     */
    public static final String SECRET_KEY = "secretKey";//签名秘钥
    public static final int EXPIRET_TIME = 7;//过期时间,单位：天
}

一、Jwt的使用

Jwt常用来生成token和解析token去实现登录检验功能。

jwt生成的token是一个字符串，由三部分组成，分别是Header、Payload、Signature

本文不会重点介绍jwt的各个部分，对jwt组成感兴趣请参考博客JWT详解-CSDN博客

1.在pom文件中引入依赖

        <!--jwt令牌依赖-->
        <!-- https://mvnrepository.com/artifact/com.auth0/java-jwt -->
        <dependency>
            <groupId>com.auth0</groupId>
            <artifactId>java-jwt</artifactId>
            <version>4.4.0</version>
        </dependency>

2.编写一个 jwt 的 util 类，实现生成token

1）第一种写法

这种写法不会使用jwt配置类。

import com.auth0.jwt.JWT;
import com.auth0.jwt.JWTVerifier;
import com.auth0.jwt.algorithms.Algorithm;
import com.auth0.jwt.interfaces.DecodedJWT;
import lombok.extern.slf4j.Slf4j;
import org.springframework.stereotype.Component;

import java.util.Calendar;
import java.util.Map;

@Component
@Slf4j
public class JwtUtil {

    private static final String SECRET_KEY = "secretKey";//签名秘钥
    private static final int EXPIRET_TIME = 7;//过期时间，单位为天
    /**
     * 生成token : header-payload-singature
     */
    public static String creatToken(Map<String, Object> map) {

        Calendar instance = Calendar.getInstance();
        // 默认7天过期
        instance.add(Calendar.DATE, EXPIRET_TIME);
        String token = JWT.create()
                .withPayload(map)//载荷内容 payload
                .withExpiresAt(instance.getTime()) // 指定令牌的过期时间
                .sign(Algorithm.HMAC256(SECRET_KEY));//签名
        return token;
    }

    /**
     * 获取token信息方法
     */
    public static Map parseToken(String token) {
        // 通过签名生成验证对象
        JWTVerifier jwtVerifier = JWT.require(Algorithm.HMAC256(SECRET_KEY)).build();
        DecodedJWT verify = jwtVerifier.verify(token);
        log.info("payload =  {} ", verify.getClaims());
        return verify.getClaims();

    }

}

这里生成token的秘钥签名和过期时间也可以是由自己传入的，如下：

2）第二种写法

使用配置类的写法。

本人用的这种写法。

import com.auth0.jwt.JWT;
import com.auth0.jwt.JWTVerifier;
import com.auth0.jwt.algorithms.Algorithm;
import com.auth0.jwt.interfaces.DecodedJWT;
import lombok.extern.slf4j.Slf4j;
import org.springframework.stereotype.Component;

import java.util.Calendar;
import java.util.Map;

@Component
@Slf4j
public class JwtUtil {

    /**
     * 生成token : header-payload-singature
     */
    public static String creatToken(Map<String, Object> map, int expiretTime, String secretKey) {

        Calendar instance = Calendar.getInstance();
        // 默认7天过期
        instance.add(Calendar.DATE, expiretTime);
        String token = JWT.create()
                .withPayload(map)//载荷内容 payload
                .withExpiresAt(instance.getTime()) // 指定令牌的过期时间
                .sign(Algorithm.HMAC256(secretKey));//签名
        return token;
    }

    /**
     * 获取token信息方法
     */
    public static Map parseToken(String token, String secretKey) {
        // 通过签名生成验证对象
        JWTVerifier jwtVerifier = JWT.require(Algorithm.HMAC256(secretKey)).build();
        DecodedJWT verify = jwtVerifier.verify(token);
        log.info("payload =  {} ", verify.getClaims());
        return verify.getClaims();

    }

}

如果要使用 jwt 就调用 util 类的静态方法就行。

3.获得token

启动springboot 项目，访问/login 即可获得token返回值。

或者编写test类去获得token。

二、token的登录拦截校验

1.拦截器的功能实现

编写LoginInterceptor 类，去实现HandlerInterceptor 接口，重写preHandle 方法


@Slf4j
@Component
public class LoginInterceptor implements HandlerInterceptor {

    /**
     * 校验jwt(token)
     *
     * @param request
     * @param response
     * @param handler
     * @return
     * @throws Exception
     */
    @Override
    public boolean preHandle(HttpServletRequest request,
                             HttpServletResponse response,
                             Object handler) throws Exception {
        //判断当前拦截到的是Controller的方法还是其他资源
        if (!(handler instanceof HandlerMethod)) {
            //当前拦截到的不是动态方法，直接放行
            return true;
        }

        //1、从请求头中获取令牌
        String token = request.getHeader("token");

        if (token == null) {
            throw new Exception("未登录");
        }

        String secretKey = JwtProperties.SECRET_KEY;
        int expiretTime = JwtProperties.EXPIRET_TIME;

        //2、校验令牌
        try {
            log.info("jwt校验: token = {}", token);
            Map claims = JwtUtil.parseToken(token, JwtProperties.SECRET_KEY);
            //获得负载数据,注意写法
            Integer id = Integer.valueOf(claims.get("id").toString());
            String name = claims.get("name").toString();

            //3、通过，放行
            return true;

        } catch (Exception exception) {

            //4、不通过，响应 401 状态码
            response.setStatus(401);
            throw new Exception("token检验未通过,exception = " + exception);
        }
    }
}

2.将拦截器注册进spring配置中

编写配置类，注册拦截器，并排除不需要的拦截地址

@Configuration
@Slf4j
public class InterceptorConfig implements WebMvcConfigurer {

    @Resource
    private LoginInterceptor loginInterceptor;

    @Override
    public void addInterceptors(InterceptorRegistry registry) {
        registry.addInterceptor(loginInterceptor)
                .addPathPatterns("/**")  // 其他接口需要token验证
                //排除knife4j的接口文档页面
                .excludePathPatterns("/**.html")
                .excludePathPatterns("/v3/api-docs/**")
                //排除登录注册页面
                .excludePathPatterns("/login")
                .excludePathPatterns("/register");

    }

}

3.启动项目，验证拦截是否成功

1）请求头中不添加token，访问/health

显示错误页面，这里可以编写全局异常类进行捕获，本次求简，就没写全局异常类。

 2）将访问/login得到的token 加入请求头，再次访问/health

请求成功

自此，token生成和拦截校验结束。

三、拓展：

下面介绍，将jwt配置类解耦出来更好的办法

1.把jwt配置类的属性与application.yml 联系起来。

@Configuration
@ConfigurationProperties(prefix = "jwt")
@Data
public class JwtProperties {

    /**
     * jwt令牌相关配置
     */
    private String secretKey;//签名秘钥
    private int expiretTime;//过期时间
    private String tokenName;//设置前端传递过来的令牌名称
}

2.application.yml 配置

#jwt(token)配置
jwt:
  #签名秘钥
  secretKey: secretKey
  #过期时间(单位 day)
  expiretTime: 7
  #设置前端传递过来的令牌名称
  tokenName: token

3.jwt的util类不变。

4.token拦截校验类需要更改一点


/**
 * jwt令牌的拦截检验(token)
 */
@Component
@Slf4j
public class LoginTokenInterceptor implements HandlerInterceptor {
    @Resource
    private JwtProperties jwtProperties;

    /**
     * 校验jwt(token)
     *
     * @param request
     * @param response
     * @param handler
     * @return
     * @throws Exception
     */
    @Override
    public boolean preHandle(HttpServletRequest request,
                             HttpServletResponse response,
                             Object handler) throws Exception {
        //判断当前拦截到的是Controller的方法还是其他资源
        if (!(handler instanceof HandlerMethod)) {
            //当前拦截到的不是动态方法，直接放行
            return true;
        }

        //1、从请求头中获取令牌
        String token = request.getHeader(jwtProperties.getTokenName());

        if (StringUtils.isBlank(token)) {
            throw new Exception("未登录");
        }

        String secretKey = jwtProperties.getSecretKey();
        int expiretTime = jwtProperties.getExpiretTime();
        String tokenName = jwtProperties.getTokenName();

        //2、校验令牌
        try {
            log.info("jwt校验: token = {}", token);
            Map claims = JwtUtil.parseToken(token, jwtProperties.getSecretKey());

            Integer id = Integer.valueOf(claims.get("id").toString());

            String account = claims.get("account").toString();

        //3、通过，放行
            return true;

        } catch (Exception exception) {

        //4、不通过，响应 401 状态码
            response.setStatus(401);
            throw new Exception("token检验未通过,exception = " + exception);
        }
    }
}

5.拦截类注册不需要改变

太晚了，明天在写(~_~)。

以上，完成。

Sorakodo-Ao
关注
【SpringBoot】46、SpringBoot中整合JWT实现Token验证（拦截器篇）
Asurplus
02-28 21万+
前言 上篇文章我们已经实现了使用自定义注解验证 token 信息，这样我们就会发现，当我们需要验证的接口较多时，我们需要每个方法上面都加上 @JwtToken 这个注解，也是非常麻烦， 本片文章，我们继续使用拦截器来实现 token 信息的验证 如果对整合 JWT 还不熟悉的朋友，可以先看看我的这篇博客：【SpringBoot】四十四、SpringBoot中整合JWT实现Token验证（整合篇） 如果对自定义注解验证 token 信息感兴趣的朋友，可以看看我的这篇博客：【SpringBoot】四十五、Spr
【SpringBoot】45、SpringBoot中整合JWT实现Token验证（注解篇）
热门推荐
Asurplus
02-28 21万+
前言 上篇文章，我们已经在 SpringBoot 中整合了 JWT 并实现了 Token 验证，那我们在实际应用中就会发现，如果每个 视图层（controller）都手动验证 token，代码就会显得特别臃肿，本篇文章主要为了解决该问题。 如果对整合 JWT 还不熟悉的朋友，可以先看看我的这篇博客：【SpringBoot】四十四、SpringBoot中整合JWT实现Token验证 自定义注解 1、创建自定义注解 package com.asurplus.common.annotation; import
什么是JWT（JSON WEB TOKEN）
昆仔的博客
07-24 277
原文传送门 什么是JWT Json web token（JWT）是为了网络应用环境间传递声明而执行的一种基于JSON的开发标准（RFC 7519），该token被设计为紧凑且安全的，特别适用于分布式站点的单点登陆（SSO）场景。JWT的声明一般被用来在身份提供者和服务提供者间传递被认证的用户身份信息，以便于从资源服务器获取资源，也可以增加一些额外的其它业务逻辑所必须的声明信息，该toke...
SpringBoot中使用JWT
cxzhq2002的杂记
11-04 1693
JWT是什么我就不说了，这里只说名SpringBoot中怎么用。 首先在pom中天际依赖 1 <dependency> 2 <groupId>org.bitbucket.b_c</groupId> 3 <artifactId>jose4j</artifactId> 4 <version>0.6.5</version> 5 </dependency> 这里我用
Spring Boot整合JWT
java知识整理
08-04 1432
参考b站视频整理：https://www.bilibili.com/video/BV1i54y1m7cP?p=1 springboot整合jwt步骤： 1、登录时，验证账号和密码成功后，生成jwt，返回给前端； 2、前端接收后保存，再做其他操作，比如增删改查时，同时将jwt传给后端进行验证，如果jwt当做参数一起传给后端，那么每个操作都会有jwt，为了方便，把jwt放到请求头中，通过拦截器来验证。 代码 代码结构图如下，除了常规的controller、entity、mapper和service层，还有两.
JWT库生成Token的使用与原理
码农UP2U
02-03 1244
现在开发前后端分离的系统或者开发 APP 的项目时，在验证用户是否登录时都会使用 Token 的方式，使用 Token 也是为系统后续可以进行拆分的第一步。 Token 的生成规则可以任意，只要最终可以通过 Token 去匹配到合适的用户即可。不过我们可以使用 JWT 类库来帮助我们生成 Token。JWT 是 Json Web Token 的意思，是一种通过 Json 格式在 Web 中进行传递的 Token。 JWT 的使用 先来看看关于 JW...
基于JWT的用户token验证
Mai_Jun_Hao的博客
01-06 2147
基于JWT的用户token生成及验证
SpringBoot_Shiro_JWT_Redis:SpringBoot整合Shiro、JWT和Redis实现token登录授权验证以及token刷新
05-14
SpringBoot整合Shiro、JWT和Redis实现token登录授权验证以及token刷新 前端代码为一个博客页面，使用了Semantic UI框架结合thymeleaf模板 SpringBoot结合JWT+Shiro+Redis实现token无状态登录授权 [TOC] 一、引言 ​ ...
基于springboot+jwt实现刷新token过程解析
08-19
在拦截器中，我们使用JwtUtil.verify()方法来验证Token的有效期，如果 Token 已经过期，则重新登录。 优点和缺点 在线刷新Token的方式可以实时刷新Token，提高了系统的安全性。但是，这种方式需要频繁地访问Redis，...
springboot通过jwt实现token验证
最新发布
m0_50207524的博客
08-25 712
throw new ServiceException("请登录", "401");import com/*** @date 2024年07月28日 22:13} }/*** @date 2024年07月28日 22:13} }/*** @date 2024年07月28日 22:13} }R;import org/*** @date 2024年07月28日 22:13} }/**
一文搞懂JWT以及SpringBoot如何整合JWT
质胜文则野，文胜质则史。文质彬彬，然后君子。
10-09 2070
​ JSON Web Token (JWT)是⼀个开放标准(RFC 7519)，它定义了⼀种紧凑的、⾃包含的⽅式，⽤于 作为JSON对象在各⽅之间安全地传输信息。该信息可以被验证和信任，因为它是数字签名的。
JWT相关使用
m0_74001786的博客
09-25 114
【代码】JWT相关使用。
Java生成HmacSHA256的方法
qq_16977687的博客
06-29 966
/* * HmacSHA256加密 * @param message 消息 * @param key 秘钥 * @return 加密后字符串 */ public static String sha256_HMAC(String message, String key) throws Exception{ Mac sha256_HMAC = Mac.getInstance("HmacSHA256"); SecretKeySpec secret_key = new SecretKe
SpringBoot集成JWT token实现权限验证
m0_63077733的博客
09-01 950
经过Base64 Url编码后形成的JWT的第一部分。，通过Base64 Url编码后形成JWT的第三部分。signature--签名。使用标头的算法和私钥对。Payload---有效负载。JDK1.8以下的加入JWT依赖即可。JDK1.8以下的加入JWT依赖即可。JDK1.8以上的还要加上以下依赖。，以Base64进行编码。JDK1.8以上的加上其他。Header:标头。
JWT的Token认证机制
小毕超博客
07-19 3898
JWT pom <!-- JWT --> <dependency> <groupId>com.auth0</groupId> <artifactId>java-jwt</artifactId> <version>3.5.0</version> </dependency>
SpringBoot集成JWT实现token验证
Che_yibuhe_yibu的博客
05-02 2463
SpringBoot集成JWT实现token验证
JWT详细讲解
m0_71012114的博客
10-19 6271
本文讲解了常见的认证机制、介绍了JWT以及JWT的使用、并且举了个案例SpringSecurity+JWT实现后台管理系统权限验证。
基于JWT的Token认证机制（一）
睁眼看世界
11-14 1万+
简介           JSON Web Token（JWT）是一个非常轻巧的规范，这个规范允许我们使用JWT在用户和服务器之间传递安全可靠的信息。它是基于RFC 7519标准定义的一种可以安全传输的小巧和自包含的JSON对象。由于数据是使用数字签名的，所以是可信任的和安全的。JWT可以使用HMAC算法对secret进行加密或者使用RSA的公钥私钥对其进行签名。 JWT的组成      
SpringBoot使用JWT
qq_43059717的博客
07-10 794
Springboot简单使用jwt
springboot拦截器验证token
10-25
在Spring Boot中，我们可以使用拦截器来验证token。拦截器是一种在请求处理之前或之后拦截请求的机制。我们可以在拦截器中编写代码来验证token，并在需要时拒绝请求。为了实现这个目标，我们需要编写一个自定义的拦截器类，并将其配置到Spring Boot应用程序中。 具体步骤如下： 1. 创建一个自定义的拦截器类，例如TokenInterceptor.java。 2. 在拦截器类中编写代码来验证token。可以使用第三方库，例如JWT，来验证token。 3. 创建一个拦截器配置类，例如InterceptorConfig.java。 4. 在拦截器配置类中注册自定义拦截器，并配置拦截器的拦截路径和排除路径。 5. 在Spring Boot应用程序中启用拦截器配置。 下面是一个简单的示例代码，演示如何在Spring Boot中使用拦截器验证token： TokenInterceptor.java: ``` public class TokenInterceptor implements HandlerInterceptor { @Override public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception { // 验证token的代码 // 如果token验证失败，可以使用response对象返回错误信息 return true; } } ``` InterceptorConfig.java: ``` @Configuration public class InterceptorConfig implements WebMvcConfigurer { @Autowired private TokenInterceptor tokenInterceptor; @Override public void addInterceptors(InterceptorRegistry registry) { registry.addInterceptor(tokenInterceptor) .addPathPatterns("/**") // 拦截所有请求 .excludePathPatterns("/login"); // 排除登录请求 } } ``` 在上面的示例代码中，我们创建了一个名为TokenInterceptor的自定义拦截器类，并实现了HandlerInterceptor接口。在preHandle方法中，我们可以编写代码来验证token。如果token验证失败，可以使用response对象返回错误信息。 然后，我们创建了一个名为InterceptorConfig的拦截器配置类，并实现了WebMvcConfigurer接口。在addInterceptors方法中，我们注册了TokenInterceptor拦截器，并配置了拦截路径和排除路径。在这个例子中，我们拦截了所有请求，但排除了/login请求。 最后，在Spring Boot应用程序中启用拦截器配置。这可以通过在应用程序类上添加@EnableWebMvc注解来实现。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值