shiro+jwt+redis - 无状态token登录（二）授权篇

最新推荐文章于 2024-05-27 13:56:04 发布
最新推荐文章于 2024-05-27 13:56:04 发布
阅读量749 收藏 1
点赞数
分类专栏： # JWT java 文章标签： jwt java shiro 缓存
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_35617703/article/details/114934945
版权
java 同时被 2 个专栏收录
5 篇文章 0 订阅
订阅专栏
JWT
3 篇文章 0 订阅
订阅专栏

上文总览篇中，相信大家已经对接下来要做的事情有了总体思路及印象。总言之我们要做的就只有两件事，一是授权，二即是鉴权。
　　让我们先从授权开始，何为授权？在这里简单地来讲就是要颁发token。何时颁发？毫无疑问，无非就是在登录/注册成功之后。
　　至于上文中提到的根据RefreshToken自动刷新AccessToken，我将之归置为token刷新，代码实现于后续篇章说明。
　　Here we go.

一、Maven配置

<!-- jwt -->
<dependency>
    <groupId>com.auth0</groupId>
    <artifactId>java-jwt</artifactId>
    <version>3.8.3</version>
</dependency>

二、Application配置

spring:
  aop:
    # proxy-target-class属性值决定是基于接口的还是基于类的代理被创建。属性值被设置为true，那么基于类的代理将起作用（这时需要cglib库）。
    # 如果proxy-target-class属值被设置为false或者这个属性被省略，那么标准的JDK 基于接口的代理将起作用。
    proxy-target-class: true
    auto: true
  # 配置数据库连接池
  datasource:
    primary:
      jdbc-url: jdbc:sqlserver://127.0.0.1:1433;DatabaseName=xxx
      username: xx
      password: xxxxx
      driver-class-name: com.microsoft.sqlserver.jdbc.SQLServerDriver
    db2:
      jdbc-url: jdbc:sqlserver://127.0.0.1:1433;DatabaseName=xxx
      username: xx
      password: xxxxx
      driver-class-name: com.microsoft.sqlserver.jdbc.SQLServerDriver
  ## Redis配置 - start
  redis:
    # Redis数据库索引（默认为0）
    database: 1
    # Redis服务器地址
    host: 127.0.0.1
    # Redis服务器连接端口
    port: 6379
    # Redis服务器连接密码（默认为空）
    password:
    # 连接超时时间（毫秒）
    timeout: 5000
    ## Redis配置 - end
    ## rabbitmq配置 - start
  rabbitmq:
    host: 127.0.0.1
    port: 5672
    username: xxx
    password: xxx
    virtual-host: dev
    ## rabbitmq配置 - end
#返回JSON的全局时间格式 -start
  jackson:
    date-format: yyyy-MM-dd HH:mm:ss
    time-zone: GMT+8
#返回JSON的全局时间格式 -start
## servlet文件上传 -start
  servlet:
    multipart:
  #最大上传单个文件大小：默认1M
      max-file-size: 1024MB
  # 最大置总上传的数据大小 ：默认10M
      max-request-size: 1024MB
## servlet文件上传 -end

## 阿里短信配置 - start
aliyun:
  sms:
    accessKeyId: xxxx
    accessKeySecret: xxxx
    ##用户注册验证码
    register_template_code: xxx
    ##短信测试验证码
    sms_test_template_code: xxx
    ##登陆确认验证码
    login_template_code: xxx
    ##登陆异常验证码
    logerr_template_code: xxx
    ##修改密码验证码
    up_template_code: xxx
    ##身份验证验证码
    auth_template_code: xxx
    ##活动确认验证码
    activ_confirm_template_code: xxx
    ##信息变更验证码
    info_change_template_code: xxx
    sign_name: xxxx
    ## 阿里短信配置 - end
  ##oss 阿里云图片上传 - start
  oss:
    key: xxxx
    secret: xxxx
    endpoint: xxxx
    bucket-name: xxxx
    userInfoPic-path: xxxx
  ##oss 阿里云图片上传 - end
## 阿里视频点播配置 - start
  vod:
    accessKeyId: xxxx
    accessKeySecret: xxxx
## 阿里视频点播配置 - end
## 阿里视频直播播配置 - start
  live:
    key: xxxx
    oss: xxxx
## 阿里视频直播配置 - end

## 阿里支付配置 - start 沙箱配置
  #pay:
    #appId: xxxx
    #rsaPrivateKey: xxxx
    #alipayPublicKey: xxxx
    #notifyUrl: xxxx
    #returnUrl: xxxx
    #signType: xxxx
    #charset: xxxx
    #gatewayurl: xxxx
## 阿里支付配置 - end
## 腾讯Im配置 - start
tencentyun:
  sdk_appid: xxxx
  secretkey: xxxx
## 腾讯Im配置 - end

#短信万能码开启状态  0 开启   1 关闭#
almightyCode:
  status: 0

## 其它配置 - start
config:
  # JWT认证加密私钥(Base64加密)
  encrypt-jwtKey: xxxx
  # PC端AccessToken过期时间(秒)
  accessToken-expireTime: 604800
  # PC端RefreshToken过期时间(604800秒/7天)
  refreshToken-expireTime: 604800
## 其它配置 - end

三、颁发Token

  • token的颁发并未有什么难度，主要是生成AccessToken放置于Header给前端。再生成RefreshToken保存于服务端即可。此处使用redis保存。
1. Controller:注册登陆控制器
   /**
     * 用户登录
     * @param  loginForm 表单数据
     * @return 成功或者失败
     */
    @ApiOperation("用户登录")
    @PostMapping("/login")
    public ResultVo actionLogin(@ApiParam(value = "用户登录表单数据")@Validated @RequestBody LoginForm loginForm,
                                HttpServletResponse response, HttpServletRequest request) {
        //当前客户端ip地址
        loginForm.setClientIP(getClientIP());
        return ResultVoUtil.success(userService.actionLogin(loginForm, response, request));
    }

2.service:注册登陆业务实现类
/**
     * 用户登录
     * @param loginForm 表单参数
     * @return 成功或者失败
     */
    @Override
    public LoginResponseVo actionLogin(LoginForm loginForm, HttpServletResponse response, HttpServletRequest request) {
        log.info("YUserServiceImpl.actionLogin params ==>> {}",loginForm);
        // 从请求头获取token
        String acctoken = request.getHeader(CommonConstant.TOKEN);
        // 登录类型(0:密码登陆;1:验证码登陆).
        String loginType = loginForm.getLoginType();
        // 手机号码
        String account = StringUtils.trim(loginForm.getMobile());
        // 验证码
        String verifyCode = StringUtils.trim(loginForm.getVerifyCode());
        // 密码
        String password = StringUtils.trim(loginForm.getPassword());
        // 用户动作
        String action = loginForm.getAction();
        // 设备类型
        String userAgent = loginForm.getUserAgent();

        // jwt储存信息
        JwtData jwtData = new JwtData();
        String encode = "";
        if (!StringUtils.isEmpty(account)) {
            encode = DesUtil.desEncodeCBC(CommonConstant.KEY,account);
        }
        YUser user = baseMapper.selectUserInfoByUserCodeOrMobile(encode);
        log.info("YUserServiceImpl.actionLogin param user is -> {}", user);
        if (user == null) {
            throw new FailureException("帐户不存在");
        }
        // 获取数据库未加盐密码
        String dbPassword = user.getPassword();
        if (!StringUtils.isEmpty(dbPassword)) {
            user.setSalt(ShiroKit.getRandomSalt(5));
            user.setSaltPassword(ShiroKit.md5(password,user.getSalt()));
            user.setUpdatedIp(loginForm.getClientIP());
            user.setUpdatedAt(new Date());
            baseMapper.updatePasswordByUid(user.getSaltPassword(),user.getSalt(),user.getUpdatedIp()
                    ,user.getUpdatedAt(),user.getUid());
        }

        // 用户状态(状态 1:正常 2:停用 3:注销)
        Integer isActive = user.getIsActive();
        boolean key = redisClient.hasKey(RedisKeyPrefix.SOURCE_LOGIN_MESSCODE + ":" + account + ":" + verifyCode);
        // 密码登陆
        if (loginType.equals(ZERO)) {
            // 获取数据库盐
            String salt = user.getSalt();
            // 获取数据库加盐密码
            String mdPassWord = user.getSaltPassword();
            boolean res = Md5Util.isEqual(password, salt, mdPassWord);
            if (StringUtils.isEmpty(account) || StringUtils.isEmpty(password)) {
                throw new FailureException("用户名或密码不能为空");
            } else if (!res) {
                throw new FailureException("用户名和密码错误");
            } else if (isActive != ONE) {
                throw new FailureException("用户被删除或注销");
            }
        }else {
            if (StringUtils.isEmpty(account) || StringUtils.isEmpty(verifyCode)) {
                throw new FailureException("用户名或验证码不能为空");
            } else if (!key) {
                throw new FailureException("验证码错误，请重新输入");
            } else if (isActive != ONE) {
                throw new FailureException("用户被删除或注销");
            }
        }

        // 设置RefreshToken，时间戳为当前时间戳，直接设置即可(不用先删后设，会覆盖已有的RefreshToken)
        String currentTimeMillis = String.valueOf(System.currentTimeMillis());
        String token = "";
        jwtData.setAccount(account);
        jwtData.setUserCode(account);
        jwtData.setUid(user.getUid());
        // 登录类型(0-密码登陆 1-验证码登录)
        //======================== 手机号码登录=======================//
        if (!StringUtils.isEmpty(acctoken)) {
            // 清除RefreshToken
            redisClient.hdel(RedisConstant.PREFIX_SHIRO_REFRESH_TOKEN + account,user.getUid());
            log.info("-> {}", acctoken);
            // 清除access_token
            redisClient.hdel(RedisConstant.PREFIX_SHIRO_ACCESS_TOKEN + account,acctoken);
        }
        // 通过账号查询token
        Map<Object, Object> hmget = redisClient.hmget(RedisConstant.PREFIX_SHIRO_ACCESS_TOKEN + account);
        Set<Map.Entry<Object, Object>> entries = hmget.entrySet();
        for (Map.Entry<Object, Object> entry : entries) {
            acctoken = (String) entry.getKey();
        }
        // 清除RefreshToken
        redisClient.hdel(RedisConstant.PREFIX_SHIRO_REFRESH_TOKEN + account,user.getUid());
        // 清除access_token
        redisClient.hdel(RedisConstant.PREFIX_SHIRO_ACCESS_TOKEN + account,acctoken);
      	// 生成access_token
        token = JwtUtil.sign(jwtData, currentTimeMillis);
        // 缓存PREFIX_SHIRO_REFRESH_TOKEN
        redisClient.hset(RedisConstant.PREFIX_SHIRO_REFRESH_TOKEN + account,user.getUid(), currentTimeMillis,
                Integer.parseInt(refreshTokenExpireTime));
        // 缓存PREFIX_SHIRO_ACCESS_TOKEN
        redisClient.hset(RedisConstant.PREFIX_SHIRO_ACCESS_TOKEN + account,token, JSON.toJSONString(user),
                Integer.parseInt(accessTokenExpireTime));
  		// 从Header中Authorization返回AccessToken，时间戳为当前时间戳
        response.setHeader("Authorization", token);
        response.setHeader("Access-Control-Expose-Headers", "Authorization");

        user.setMobphone(DesUtil.desDecodeCBC(CommonConstant.KEY,user.getMobphone()));
        user.setRealname(DesUtil.desDecodeCBC(CommonConstant.KEY,user.getRealname()));
        UserVo userVo = new UserVo(user);
        // 插入日志
        YUserLoginLog userLoginLog = new YUserLoginLog();
        userLoginLog.setUid(user.getUid());
        userLoginLog.setLoginBill(token);
        userLoginLog.setAction(action);
        userLoginLog.setLoginPlatform(userAgent);
        userLoginLog.setLoginIp(loginForm.getClientIP());
        userLoginLog.setLoginTime(new Date());
        int status = userLoginLogMapper.insert(userLoginLog);
        HashMap<String, Object> hashMap = new HashMap<>();
        hashMap.put("user",user);
        hashMap.put("token",token);
        hashMap.put("userAgent",userAgent);
        hashMap.put("loginIp",loginForm.getClientIP());
        hashMap.put("loginTime",new Date());
        String toJSONString = JSON.toJSONString(hashMap);
        //发送rabbitmq消息
        sendMessage.sendMsg(UserMQ.USER_PC_LAST_LOGIN_INFO,toJSONString);
        return LoginResponseVo.builder().userVo(userVo).token(token).build();
    }

四、清除Token

  • 没有买卖就没有伤害，有登录就会有退出。token的清除主要是做两件事：
  1. 清除AccessToken
  2. 清除RefreshToken
 1. BaseController:基础控制器
 /**
     * 从请求头获取token
     *
     * @param request
     * @return
     */
    public String getToken(HttpServletRequest request) {
        return request.getHeader(CommonConstant.TOKEN);
    }

1.Controller:注册登陆控制器
/**
     * 退出登录
     * @param  logoutForm 表单数据
     * @return 成功或者失败
     */
    @RequiresAuthentication
    @ApiOperation("退出登录")
    @PostMapping("/logout")
    public ResultVo actionLogout(@ApiParam(value = "退出登录表单数据")@Validated @RequestBody LogoutForm logoutForm, HttpServletRequest request){
        //当前客户端ip地址
        logoutForm.setClientIP(getClientIP());
        //从请求头获取token
        String accessToken = getToken(request);
        return ResultVoUtil.success(userService.logout(logoutForm,accessToken));
    }

2.service:注册登陆业务实现类
 /**
     * 退出登录
     * @param  token 访问令牌
     * @return 成功或者失败
     */
    @Override
    public boolean logout(LogoutForm logoutForm, String token) {
        log.info("YUserServiceImpl。logout() param is -> {}", token);
        // 获取当前Token的帐号信息
        String account = JwtUtil.getClaim(token, JwtConstant.ACCOUNT);
        String uid = JwtUtil.getClaim(token, JwtConstant.UID);
        if (StringUtils.isBlank(account)) {
            throw new FailureException("token失效或不正确");
        }
        //插入日志
        YUserLoginLog userLoginLog = new YUserLoginLog();
        userLoginLog.setUid(uid);
        userLoginLog.setLoginBill(token);
        userLoginLog.setAction(logoutForm.getAction());
        userLoginLog.setLoginPlatform(logoutForm.getUserAgent());
        userLoginLog.setLoginIp(logoutForm.getClientIP());
        userLoginLog.setLoginTime(new Date());
        int status = userLoginLogMapper.insert(userLoginLog);
        if (status == 1) {
            // 清除RefreshToken
            redisClient.hdel(RedisConstant.PREFIX_SHIRO_REFRESH_TOKEN + account,uid);
            //清除access_token
            redisClient.hdel(RedisConstant.PREFIX_SHIRO_ACCESS_TOKEN + account,token);
            return true;
        }
        return false;
    }

五、演示说明

  1. 登录成功，返回用户以及AccessToken信息
    在这里插入图片描述
RongfuHuang
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
专栏目录
SpringBoot整合Shiro权限框架之微信小程序无Session登陆验证
qq_37985411的博客
03-05 1894
Shiro通过验证Session来判断用户的登录状态，由于移动APP、小程序等没有Session，导致移动端无法判断用户登录状态。所以改为移动端登陆成功后返回token，在移动端获取其他系统资源时将token和用户ID（用户的唯一标识）设置为请求头，后台验证Session改为验证token的正确定。 1.登陆接口新增参数判断客户端类型 登陆接口新增一个固定参数来判断客户端类型，如果是移动端登陆，生...
story-admin:Springboot+Shiro+jwt+Redis+Mybatis 有效期内Token刷新方案
05-14
story-admin本项目为前后端分离的Web应用后端程序，采用技术框架如下：springboot v2.1.2.RELEASEshirojwtredismybatis-plus v3.1.2包含代码生成器文档swagger2,使用jwt采用token有效期内刷新机制更新Token。...
springboot+shiro+jwt实现基于token的无状态授权认证
书生灬今天不吃饭的博客
07-11 1988
springboot+shiro+jwt实现基于token的无状态登录鉴权
shiro整合jwt+redis
零度的博客
09-17 2925
前两篇文章我们整合了shiro+jwt无状态权限验证，这样只把tocken存储在前端，后端只验证Tocken是否合法。 考虑一个问题就是我们在设置了token过期时间之后会使前端用户退出在APP端的话很不友好，而且也不是很安全。 两种业务模式仅供参考： 1.BS架构时 我需要前端在国半小时自动退出，那么我们可以直接使用tocken过期自动退出。 2.在app端我不想让...
Shiro+Jwt+Redis
最新发布
qq_43907296的博客
05-27 683
​ 而JWT(全称：Json Web Token)是一种特殊的Token，它采用了JSON格式来对Token进行编码和解码，并携带了更多的信息，例如用户ID、角色、权限等。它包含了三部分：头部（Header）、数据（Payload）和签名（Signature）。其中，头部和数据都是经过Base64编码的JSON字符串，而签名是对头部和数据进行签名后得到的字符串。
Springboot下Shiro+Token使用redis做安全认证方案
Youdmeng的博客
07-07 1608
以前项目中权限认证没有使用安全框架，都是在自定义filter中判断是否登录以及用户是否有操作权限的。 最近开了新项目，搭架子时，想到使用安全框架来解决认证问题，spring security太过庞大，我们的项目不大，所以决定采用Shiro 什么是Shiro Apache Shiro 是一个强大灵活的开源安全框架，可以完全处理身份验证、授权、加密和会话管理。 Realm是Shiro的核心组建，也一样是两步走，认证和授权，在Realm中的表现为以下两个方法。 认证：doGetAuthenticationI.
前后端分离权限设计方案:shiro+redis+jwt
weixin_43401380的博客
08-30 1万+
1.postman模拟用户发送请求. 登录接口: 访问登录外的其他接口: 请求头中添加cookie信息: 用户发送每次请求都会校验是否存储的用户认证信息,如果没有则会默认请求访问登录接口 源码如下: AccessControlFilter.java有很多子类,具体走哪个过滤器可以从shiro配置中自行配置,这里配置的是 自定义的PersonalUserFilter(主要作用是根据业务逻辑如果无认证信息就直接异常提示),下面就贴一下这个的源码: ...
Shiro + JWT + SpringBoot + MySQL + Redis(Jedis)实现无状态鉴权机制
10-17
总结起来，这个项目通过Shiro进行用户身份认证和权限管理，JWT提供了无状态的身份表示，SpringBoot作为核心框架集成各个组件，MySQL存储用户和权限数据，而Redis利用Jedis实现JWT的安全存储和快速访问。这样的设计既...
SpringBoot_Shiro_JWT_Redis:SpringBoot整合Shiro、JWT和Redis实现token登录授权验证以及token刷新
05-14
SpringBoot结合JWT+Shiro+Redis实现token无状态登录授权 [TOC] 一、引言 ​ 在微服务中我们一般采用的是无状态登录，而传统的session方式，在前后端分离的微服务架构下，如继续使用则必将要解决跨域sessionId问题、...
SpringBoot集成Shiro、Jwt和Redis
10-24
通过以上步骤，我们可以构建一个完整的RBAC系统，其中Shiro处理权限控制，Jwt实现无状态认证，Redis提供高效的会话管理，而MyBatisPlus则简化了数据库操作。这样的系统不仅安全可靠，而且具有良好的扩展性和可维护性...
ShiroJwt：API SpringBoot + Shiro + Java-Jwt + Redis（Jedis）
02-04
ShiroJwt 前端地址： : 疑问查看 项目相关 JavaDoc： ： 关联文档： : 教程目录： : 可转换数据库形式（MySQL）： : ... Shiro + Java-JWT实现无状态鉴权机制（令牌） 密码加密（采用AES-128 + Base6
shiro实现系统的退出功能
热门推荐
XWJ
06-03 2万+
思路： 1.shiro有许多过滤器，其中就有一个LogoutFilter的过滤器，只需要继承并重写preHandle方法 2.在配置文件中注入自定义实现的过滤器，在此配置当退出的时候应重定向到某个页面 3.注入自定义filter，并且配置过滤器链 4.直接在页面中配置相应退出链接 1.自定义实现LogoutFilter @Service public class SystemLogou
springboot整合shiro实现登录认证授权以及退出
dream_follower的博客
12-03 2268
文章目录springboot整合shiro实现登录认证授权以及退出shrio简介环境准备创建一个springboot的项目导入相关的依赖springboot整合shiro的依赖thymleaf的依赖创建首页创建controllershiro重要概念拦截器拦截请求创建配置类修改首页登录页面登录认证授权退出 springboot整合shiro实现登录认证授权以及退出 shrio简介 shiro是一个权限管理框架，用于实现登录认证以及授权。 环境准备 创建一个springboot的项目 这里我创建的是最简单的we
shiro框架---关于用户登录退出接口的介绍
凌大大的博客
02-19 8400
接上一篇文章shiro框架—关于用户登录和权限验证功能的实现步骤（五） 在我前几篇文章里有shiro配置的文件下载包，下载后里边有四个配置文件ShiroConfig、RetryLimitHashedCredentialsMatcher 、UserRealm 、MShiroFilterFactoryBean。这四个配置文件，在前边几篇文章里，已经一一写明，还有一个文件，即LoginCheckCon...
JWT续期与登出思考
生如夏花的博客
07-05 1万+
这两天看了很多相关的知识，梳理一下，记录一些思考。1.token与jwt的区别    （1）简单的说，token只是一个标识，以token加redis为例，服务端将token保存在redis中，客服端访问时带上token，如果在redis中能够查到这个token，说明身份有效。    （2）jwt不需要查库，本身已经包含了用户的相关信息，可以直接通过服务端解析出相关的信息，与session，tok...
Shiro整合JWT：解决jwt注销和续签的问题
你今天真好看呀
08-01 3504
文章目录Shiro管理用户认证时jwt续签和注销的问题1. 场景一：token的注销问题（黑名单）2. 场景二：token的续签问题3. 项目中的实现3.1 封装JWT工具类3.2 配置Shiro的自定义认证类3.3 登录和退出登录（token注销）3.3.1 登录接口3.3.2 退出登录3.3.3 在shiro的自定义认证类中添加认证规则3.4 修改密码（token注销）3.5 token续签问题（token续签）3.6 用户的角色发生了变化（token注销）3.6.1 更新角色3.6.2 删除角色3.6
SpringBoot结合JWT+Shiro+Redis实现token无状态登录授权
ljlj8888的博客
03-12 1万+
SpringBoot结合JWT+Shiro+Redis实现token无状态登录授权 文章目录SpringBoot结合JWT+Shiro+Redis实现token无状态登录授权一、引言二、相关说明三、项目准备配置四、实现颁发token4.1. 配置Redis：RedisConfig4.2. 编写工具类4.3. 编写登录接口：LoginController五、实现Shiro授权5.1. 重写过滤器：J...
springboot+shiro+jwt+redis+cache实现无状态token登录
doufuplus
03-09 1万+
网上关于shiro的整合文章不少，但很多并不适用于前后端分离/移动端的项目 1. shiro默认的拦截跳转都是跳转url页面，这在前后端分离的项目中显然行不通 2. shiro默认使用session做登录校验，分离后当然这也是不推荐的。 那么要如何做呢？戳进来，这里有详尽实现~
springboot集成shiro,使用token登陆,使用redis缓存
myth_g的博客
08-27 1万+
1.准备用户数据,这里我将数据写死存储; public class Constant implements Serializable { public static final String USERNAME = "gaoyang"; public static final String PASSWORD = "123456"; public static final ...
shiro+jwt+redis
05-19
将 Shiro 和 JWT 结合使用可以实现无状态的身份认证和授权。当用户登录成功后，将用户信息生成一个 JWT，并将其返回给客户端。客户端在后续请求中携带该 JWT，服务端使用 Shiro 进行解析和校验，实现身份认证和授权...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值