SpringBoot+JWT实现单点登录解决方案

已于 2023-07-26 11:16:49 修改
阅读量1.1w 收藏 54
点赞数 7
分类专栏： SpringBoot 文章标签： spring boot 后端 java
于 2023-07-04 18:25:13 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qinxun2008081/article/details/131533908
版权

一、什么是单点登录?

单点登录是一种统一认证和授权机制，指在多个应用系统中，用户只需要登录一次就可以访问所有相互信任的系统，不需要重新登录验证。

单点登录一般用于互相授信的系统，实现单一位置登录，其他信任的应用直接免登录的方式，在多个应用系统中，只需要登录一次，就可以访问其他互相信任的应用系统。

随着时代的演进，大型web系统早已从单体应用架构发展为如今的多系统分布式应用群。但无论系统内部多么复杂，对用户而言，都是一个统一的整体，访问web系统的整个应用群要和访问单个系统一样，登录/注销只要一次就够了，不可能让一个用户在每个业务系统上都进行一次登录验证操作，这时就需要独立出一个单独的认证系统，它就是单点登录系统。

二、单点登录的优点

1.方便用户使用。用户不需要多次登录系统，不需要记住多个密码，方便用户操作。

2.提高开发效率。单点登录为开发人员提供类一个通用的验证框架。

3.简化管理。如果在应用程序中加入了单点登录的协议，管理用户账户的负担就会减轻。

三、JWT 机制

JWT(JSON Web Token)它将用户信息加密到token里，服务器不保存任何用户信息。服务器通过使用保存的密钥验证JWTToken的正确性，只要正确就通过验证。

数据结构:

JWT包含三个部分:Header头部，Payload负载和Signature签名。三个部门用“.”分割。校验也是JWT内部自己实现的 ,并且可以将你存储时候的信息从token中取出来无须查库。

JWT执行流程:

JWT的请求流程也特别简单，首先使用账号登录获取Token，然后后面的各种请求，都带上这个Token即可。具体流程如下：

1. 客户端发起登录请求，传入账号密码；

2. 服务端使用私钥创建一个Token；

3. 服务器返回Token给客户端；

4. 客户端向服务端发送请求，在请求头中携带Token；

5. 服务器验证该Token；

6. 返回结果。

四.创建Maven父项目

 2.指定打包类型为pom

 五.创建认证模块sso

 1.添加依赖，完整的pom文件如下:

<?xml version="1.0" encoding="UTF-8"?>
<project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
         xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 https://maven.apache.org/xsd/maven-4.0.0.xsd">
    <modelVersion>4.0.0</modelVersion>
    <parent>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-parent</artifactId>
        <version>2.7.13</version>
        <relativePath/> <!-- lookup parent from repository -->
    </parent>
    <groupId>com.example</groupId>
    <artifactId>sso</artifactId>
    <version>0.0.1-SNAPSHOT</version>
    <name>sso</name>
    <description>sso</description>
    <properties>
        <java.version>1.8</java.version>
    </properties>
    <dependencies>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-web</artifactId>
        </dependency>
        <!--lombok-->
        <dependency>
            <groupId>org.projectlombok</groupId>
            <artifactId>lombok</artifactId>
        </dependency>
        <!--jwt-->
        <dependency>
            <groupId>com.auth0</groupId>
            <artifactId>java-jwt</artifactId>
            <version>3.8.2</version>
        </dependency>
        <!--thymeleaf-->
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-thymeleaf</artifactId>
        </dependency>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-test</artifactId>
            <scope>test</scope>
        </dependency>
    </dependencies>

    <build>
        <plugins>
            <plugin>
                <groupId>org.springframework.boot</groupId>
                <artifactId>spring-boot-maven-plugin</artifactId>
            </plugin>
        </plugins>
    </build>

</project>

2添加jwt相关配置

 3.创建JWT配置类和JWT工具类

示例代码如下:

package com.example.sso.bean;

import lombok.Getter;
import lombok.Setter;
import org.springframework.boot.context.properties.ConfigurationProperties;
import org.springframework.stereotype.Component;

/**
 * @author qx
 * @date 2023/7/4
 * @des Jwt配置类
 */
@Component
@ConfigurationProperties(prefix = "jwt")
@Getter
@Setter
public class JwtProperties {

    /**
     * 过期时间-分钟
     */
    private Integer expireTime;

    /**
     * refreshToken时间
     */
    private Integer refreshTime;

    /**
     * 密钥
     */
    private String secret;
}

package com.example.sso.util;

import com.auth0.jwt.JWT;
import com.auth0.jwt.JWTVerifier;
import com.auth0.jwt.algorithms.Algorithm;
import com.auth0.jwt.interfaces.Claim;
import com.auth0.jwt.interfaces.DecodedJWT;
import com.example.sso.bean.JwtProperties;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.stereotype.Component;

import java.util.Date;
import java.util.HashMap;
import java.util.Map;

/**
 * @author qx
 * @date 2023/7/4
 * @des JWT工具类
 */
@Component
public class JwtUtil {

    @Autowired
    private JwtProperties jwtProperties;

    /**
     * 生成一个jwt字符串
     *
     * @param username 用户名
     * @return jwt字符串
     */
    public String sign(String username) {
        Algorithm algorithm = Algorithm.HMAC256(jwtProperties.getSecret());
        return JWT.create()
                // 设置过期时间1个小时
                .withExpiresAt(new Date(System.currentTimeMillis() + jwtProperties.getExpireTime() * 60 * 1000))
                // 设置负载
                .withClaim("username", username).sign(algorithm);
    }

    /**
     * 生成refreshToken
     *
     * @param username 用户名
     * @return
     */
    public String refreshToken(String username) {
        Algorithm algorithm = Algorithm.HMAC256(jwtProperties.getSecret());
        return JWT.create()
                // 设置更新时间2个小时
                .withExpiresAt(new Date(System.currentTimeMillis() + jwtProperties.getRefreshTime() * 60 * 1000))
                // 设置负载
                .withClaim("username", username).sign(algorithm);
    }


    public static void main(String[] args) {
        Algorithm algorithm = Algorithm.HMAC256("KU5TjMO6zmh03bU3");
        String username = "admin";
        String token = JWT.create()
                // 设置过期时间1个小时
                .withExpiresAt(new Date(System.currentTimeMillis() + 60 * 60 * 1000))
                // 设置负载
                .withClaim("username", username).sign(algorithm);
        System.out.println(token);
    }

    /**
     * 校验token是否正确
     *
     * @param token token值
     */
    public boolean verify(String token) {
        if (token == null || token.length() == 0) {
            throw new RuntimeException("token为空");
        }
        try {
            Algorithm algorithm = Algorithm.HMAC256(jwtProperties.getSecret());
            JWTVerifier jwtVerifier = JWT.require(algorithm).build();
            DecodedJWT decodedJWT = jwtVerifier.verify(token);
            Map<String, Claim> map = decodedJWT.getClaims();
            System.out.println("claims:" + map.get("username").asString());
            return true;
        } catch (Exception e) {
            e.printStackTrace();
            return false;
        }

    }

    /**
     * 重新生成token和refreshToken
     *
     * @param refreshToken refreshToken
     * @return 返回token和refreshToken
     */
    public Map<String, String> refreshJwt(String refreshToken) {
        if (refreshToken == null || refreshToken.length() == 0) {
            throw new RuntimeException("refreshToken为空");
        }
        Algorithm algorithm = Algorithm.HMAC256(jwtProperties.getSecret());
        JWTVerifier jwtVerifier = JWT.require(algorithm).build();
        DecodedJWT decodedJWT = jwtVerifier.verify(refreshToken);
        Map<String, Claim> map = decodedJWT.getClaims();
        // 获取用户名
        String username = map.get("username").asString();
        Map<String, String> resultMap = new HashMap<>();
        // 重新生成token和refreshToken
        resultMap.put("token", sign(username));
        resultMap.put("refreshToken", refreshToken(username));
        return resultMap;
    }
}

4.创建服务层

package com.example.sso.service;

import com.example.sso.util.JwtUtil;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.stereotype.Service;

import java.util.HashMap;
import java.util.Map;

/**
 * @author qx
 * @date 2023/7/4
 * @des 登录服务层
 */
@Service
public class LoginService {


    @Autowired
    private JwtUtil jwtUtil;

    /**
     * 登录
     *
     * @param username 用户名
     * @param password 密码
     * @return token值
     */
    public Map<String, String> login(String username, String password) {
        Map<String, String> map = new HashMap<>();
        if ("".equals(username) || "".equals(password)) {
            throw new RuntimeException("用户名或密码不能为空");
        }
        // 为了测试方便 不去数据库比较密码
        if ("123".equals(password)) {
            // 返回生成的token
            map.put("token", jwtUtil.sign(username));
            map.put("refreshToken", jwtUtil.refreshToken(username));
        }
        return map;
    }

    /**
     * 校验jwt是否成功
     *
     * @param token token值
     * @return 校验是否超过
     */
    public boolean checkJwt(String token) {
        return jwtUtil.verify(token);
    }

    /**
     * 重新生成token和refreshToken
     *
     * @param refreshToken refreshToken
     * @return token和refreshToken
     */
    public Map<String, String> refreshJwt(String refreshToken) {
        return jwtUtil.refreshJwt(refreshToken);
    }
}

5.创建控制层

package com.example.sso.controller;

import com.example.sso.service.LoginService;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.stereotype.Controller;
import org.springframework.ui.ModelMap;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.PostMapping;
import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.ResponseBody;

import java.util.Map;

/**
 * @author qx
 * @date 2023/7/4
 * @des 验证控制层
 */
@Controller
@RequestMapping("/sso")
public class AuthController {

    @Autowired
    private LoginService loginService;

    /**
     * 登录页面
     */
    @GetMapping("/login")
    public String toLogin() {
        return "login";
    }

    /**
     * 登录
     *
     * @param username 用户名
     * @param password 密码
     * @return token值
     */
    @PostMapping("/login")
    @ResponseBody
    public Map<String, String> login(String username, String password) {
        return loginService.login(username, password);
    }

    /**
     * 验证jwt
     *
     * @param token token
     * @return 验证jwt是否合法
     */
    @RequestMapping("/checkJwt")
    @ResponseBody
    public boolean checkJwt(String token) {
        return loginService.checkJwt(token);
    }


    /**
     * 重新生成token和refreshToken
     *
     * @param refreshToken refreshToken
     * @return token和refreshToken
     */
    @RequestMapping("/refreshJwt")
    @ResponseBody
    public Map<String, String> refreshJwt(String refreshToken) {
        return loginService.refreshJwt(refreshToken);
    }

}

6.创建一个登录页面login.html

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>登录</title>
</head>
<body>
    <form method="post" action="/sso/login">
        用户名:<input type="text" name="username"/><br/>
        密码:<input type="password" name="password"/><br/>
        <button type="submit">登录</button>
    </form>
</body>
</html>

六、创建应用系统projectA 

 1.项目pom文件如下所示

<?xml version="1.0" encoding="UTF-8"?>
<project xmlns="http://maven.apache.org/POM/4.0.0"
         xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
         xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://maven.apache.org/xsd/maven-4.0.0.xsd">
    <modelVersion>4.0.0</modelVersion>
    <parent>
        <groupId>org.example</groupId>
        <artifactId>my-sso</artifactId>
        <version>1.0-SNAPSHOT</version>
    </parent>

    <artifactId>projectA</artifactId>

    <properties>
        <maven.compiler.source>8</maven.compiler.source>
        <maven.compiler.target>8</maven.compiler.target>
        <project.build.sourceEncoding>UTF-8</project.build.sourceEncoding>
    </properties>
    <dependencies>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-web</artifactId>
            <version>2.7.13</version>
        </dependency>
        <!--okhttp-->
        <dependency>
            <groupId>com.squareup.okhttp3</groupId>
            <artifactId>okhttp</artifactId>
            <version>4.10.0</version>
        </dependency>
    </dependencies>
</project>

 2.修改配置文件

 3.创建过滤器

package com.example.projectA.filter;

import okhttp3.OkHttpClient;
import okhttp3.Request;
import okhttp3.Response;
import org.springframework.beans.factory.annotation.Value;
import org.springframework.stereotype.Component;

import javax.servlet.*;
import javax.servlet.annotation.WebFilter;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;

/**
 * @author qx
 * @date 2023/7/4
 * @des 登录过滤器
 */
@Component
@WebFilter(urlPatterns = "/**")
public class LoginFilter implements Filter {

    @Value("${sso_server}")
    private String serverHost;

    @Override
    public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException {
        HttpServletRequest httpServletRequest = (HttpServletRequest) servletRequest;
        String token = httpServletRequest.getParameter("token");
        if (this.check(token)) {
            filterChain.doFilter(servletRequest, servletResponse);
        } else {
            // token过期后再使用refreshToken处理
            String refreshToken = httpServletRequest.getHeader("refreshToken");
            if (check(refreshToken)) {
                // 重新生成token和refreshtoken给客户端保存 下次传递token参数的时候使用这个重新生成的
                System.out.println("更新后的token和refreshToken:" + refreshToken(refreshToken));
                filterChain.doFilter(servletRequest, servletResponse);
            }
            // 如果refreshToken也过期 那么需要重新登录
            HttpServletResponse response = (HttpServletResponse) servletResponse;
            String redirect = serverHost + "/login";
            response.sendRedirect(redirect);
        }
    }

    /**
     * 验证token
     *
     * @param token
     * @return
     * @throws IOException
     */
    private boolean check(String token) throws IOException {
        if (token == null || token.trim().length() == 0) {
            return false;
        }
        OkHttpClient client = new OkHttpClient();
        // 请求验证token的合法性
        String url = serverHost + "/checkJwt?token=" + token;
        Request request = new Request.Builder().url(url).build();
        Response response = client.newCall(request).execute();
        return Boolean.parseBoolean(response.body().string());
    }

    /**
     * 重新获取token和refreshToken
     *
     * @param refreshToken
     * @return
     * @throws IOException
     */
    private String refreshToken(String refreshToken) throws IOException {
        if (refreshToken == null || refreshToken.trim().length() == 0) {
            return null;
        }
        OkHttpClient client = new OkHttpClient();
        // 请求重新获取token和refreshToken
        String url = serverHost + "/refreshJwt?refreshToken=" + refreshToken;
        Request request = new Request.Builder().url(url).build();
        Response response = client.newCall(request).execute();
        return response.body().string();

    }
}

4.创建测试控制层

package com.example.projectA.controller;

import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RestController;

/**
 * @author qx
 * @date 2023/7/4
 * @des 测试A
 */
@RestController
public class IndexController {

    @GetMapping("/testA")
    public String testA() {
        return "输出testA";
    }
}

5.启动类

package com.example.projectA;

import org.springframework.boot.SpringApplication;
import org.springframework.boot.autoconfigure.SpringBootApplication;
import org.springframework.boot.web.servlet.ServletComponentScan;

/**
 * @author qx
 * @date 2023/7/4
 * @des Projecta启动类
 */
@SpringBootApplication
@ServletComponentScan
public class ProjectaApplication {

    public static void main(String[] args) {
        SpringApplication.run(ProjectaApplication.class,args);
    }
}

6.启动项目测试

我们访问http://localhost:8081/testA 系统跳转到了验证模块的登录页面

我们输入账号密码登录成功后返回token

 如何我们复制这段数据，把数据传递到token参数。

 我们看到正确获取到了数据。

当我们的token过期之后，我们使用refreshToken重新获取到新的token和refreshToken。

 由于我们的项目中refreshToken的更新时间为2分钟，我们等这个时间过期之后我们再次请求接口，那么这个时候就要去重新登录了。

一般的我们的refreshToken时间设置要比token的过期时间要长。

客户端登录后，将 token和refreshToken 保存在客户端本地，每次访问将 token 传给服务端。服务端校验 accessToken 的有效性，如果过期的话，就将 refreshToken 传给服务端。如果 refreshToken 有效，服务端就生成新的 accessToken 给客户端。否则，客户端就重新登录即可。

七、创建应用系统projectB

我们再次模仿projectA创建projectB子模块。

 

 启动模块B

我们直接测试带上token参数

通过之前的token，无需登录即可成功进入了应用系统B。说明我们的单点登录系统搭建成功。

qinxun2008081
关注
专栏目录
Springboot+Spring-Security+JWT 实现用户登录和权限认证
congge
06-08 27万+
如今，互联网项目对于安全的要求越来越严格，这就是对后端开发提出了更多的要求，目前比较成熟的几种大家比较熟悉的模式，像RBAC 基于角色权限的验证，shiro框架专门用于处理权限方面的，另一个比较流行的后端框架是Spring-Security，该框架提供了一整套比较成熟，也很完整的机制用于处理各类场景下的可以基于权限，资源路径，以及授权方面的解决方案，部分模块支持定制化，而且在和oauth2.0进...
SpringBoot+SpringSecurity+JWT整合实现单点登录SSO史上最全详解
程序员闪充宝
01-05 4746
作者：波波烤鸭blog.csdn.net/qq_38526573/article/details/103409430一、什么是单点登陆单点登录（Single Sign On），简称为 S...
SSOJWT：跨域单点登录实战指南
最新发布
gitblog_01002的博客
09-15 675
SSOJWT：跨域单点登录实战指南 ssojwt Cross domain SSO with JWT (no server session) 项目地址: https://gitcode.com/gh_mirrors/ss/ssoj...
基于SpringBoot+JWT实现单点登录解决方案
qq_53723451的博客
07-31 260
基于SpringBoot+JWT实现单点登录解决方案
Spring Boot | Spring Boot使用JWT实现单点登录
jonssonyan
09-15 4802
Json web token (JWT), 是为了在网络应用环境间传递声明而执行的一种基于JSON的开放标准（(RFC 7519).该token被设计为紧凑且安全的，特别适用于分布式站点的单点登录（SSO）场景。JWT的声明一般被用来在身份提供者和服务提供者间传递被认证的用户身份信息，以便于从资源服务器获取资源，也可以增加一些额外的其它业务逻辑所必须的声明信息，该token也可直接被用于认证，也可被加密。 传统的session认证 我们知道，http协议本身是一种无状态的协议，而这就意味着如果用户向我们.
Spring Boot中集成JWT实现用户认证以及单点登录
fengjing81的专栏
06-21 532
在Spring Boot中集成JWT（JSON Web Tokens）以实现单点登录（SSO, Single Sign-On）和前后端分离的验证是一个常见的做法。JWT允许你在前后端之间安全地传输用户信息，无需在服务器端存储会话信息。
springboot整合jwt实现单点登录
qq_35872777的博客
07-06 7963
jwt的结构：
Springboot+SpringSecurity+JWT实现用户登录和权限认证示例
08-19
Spring Security OAuth2库可以进一步扩展功能，例如实现OAuth2的授权流程，以便在多应用环境中支持单点登录。 总的来说，Spring Boot + Spring Security + JWT的组合提供了一个强大且可扩展的用户认证和权限管理...
SPRINGBOOT+JWT
07-16
以上就是SpringBoot结合JWT身份验证案例的主要技术点和流程，这个案例提供了从用户认证到权限控制的完整解决方案，对于理解和实践Spring Security以及JWT认证机制非常有帮助。通过学习和运行这个案例，开发者可以更...
springBoot单点登录实例
04-02
该项目为springBoot单点登录实例，其中包含了权限设置。前端为HTML写的简单示例。开发工具为IDEA,启动项目根据模块划分，1、mysql-->MysqlTest(创建数据库实例，根据实际情况可自行更改，)。2、web1。2、web2
springboot单点登录的项目
12-20
基于springboot几种实现单点登录的方式都有：1.用redis缓存实现2.基于jwt实现sso3.基于spring-security oauth实现单点登录4.基于shiro实现单点登录
springboot使用JWT实现单点登录
u014496893的博客
01-26 523
首先引入JWT依赖 <!-- JWT--> <dependency> <groupId>io.jsonwebtoken</groupId> <artifactId>jjwt</artifactId> </dependency> 准备一个JWT的工具类，里面包含生成token，解析token等 public class JwtUtils { //常量 public static final
基于SpringBoot的JWT单点登录
asd747571569的博客
01-15 2004
单点登录 单点登录SSO，分布式架构中通过一次登录，就能访问多个相关的服务。 快速入门 首先引入Jwt依赖 <!-- JWT --> <dependency> <groupId>org.apache.commons</groupId> <artifactId>commons-lang3</artifactId> <version>3.4&
springBoot使用JWT实现单点登录
m0_47045858的博客
12-15 1264
springBoot使用JWT实现单点登录 1.首先在项目的pom.xml中引入依赖 <dependency> <groupId>io.jsonwebtoken</groupId> <artifactId>jjwt</artifactId> <version>0.9.1</version> </dependency>
Springboot基于JWT实现单点登录（简单）
bingxuebojue的博客
05-02 807
文章目录一、什么是JSON Web Token（JWT）？二、JWT数据格式三、使用步骤1.添加pom依赖2.创建jwt常量类3.JwtHelper工具类4.AES加密工具类5.编写登录拦截器6.SpringMVC配置类，将自定义拦截器添加到配置中总结 使用JWT实现单点登录 一、什么是JSON Web Token（JWT）？ JWT，全称是JSON Web Token， 是JSON风格轻量级的授权和身份认证规范，可实现无状态、分布式的Web应用授权 官网：https://jwt.io （JWT，生成
SpringBoot2整合JWT实现单点登录
小猪呀的博客
07-16 1407
1.添加pom依赖 <parent> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-parent</artifactId> <version>2.1.5.RELEASE</version> <relativePath/> <!--
手把手教你，使用JWT实现单点登录，一起来揭开它神秘的面纱
weixin_47083537的博客
05-15 847
JSON Web Token（JWT）是目前最流行的跨域身份验证解决方案之一，今天我们一起来揭开它神秘的面纱！ 一、故事起源 说起 JWT，我们先来谈一谈基于传统session认证的方案以及瓶颈。 传统session交互流程，如下图： 当浏览器向服务器发送登录请求时，验证通过之后，会将用户信息存入seesion中，然后服务器会生成一个sessionId放入cookie中，随后返回给浏览器。 当浏览器再次发送请求时，会在请求头部的cookie中放入sessionId，将请求数据一并发送给服务器。 服务器就
评论 6
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

qinxun2008081

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值