springBoot 的jwt实现权限认证

前言

JWT能做什么

1.授权
及本文要实现的功能，这是JWT的最常见方案，一旦用户登录，每个后续的请求将包括JWT，从而允许用户访问该令牌允许的路由，服务和资源，单点登录令广泛使用JWT的一项功能，因为它的开销很小并且可以在不同的域中轻松使用。
2.信息交换
JSON Web Token 是各方之间安全传输信息的好方法，因为可以对JWT进行签名，所以您可以保证发件人是他们所说的人，此外，由于签名是使用标头和有效负载计算的，因此您还可以验证内容是否遭到篡改。

传统Session

1.认证方式

http协议本身是一种无状态的协议，而这意味着如果用户向我们的应用提供了用户和密码进行用户认证，那么下一次请求时，用户还要再一次进行用户认证才行，因为根据http协议，我们并不能知道是哪个用户发出的请求，所以为了让应用识别用户，我们只能再服务器存储一份用户登录的信息，这份登录信息会再响应时传递给浏览器，告诉其保存为cookie，以便下一次请求发送给应用，这样就能识别用户了。这是传统session认证

2.暴露问题

每个用户登录认证后都需要服务器进行记录，以方便用户下次请求的鉴别。通常session都是存储在内存的，导致随着用户量的增加，服务端开销明显增大
而如果认证记录存储在内存，意味用户下此请求还必须在这台服务器上，这样在分布式的应用上，相应的限制了负载均衡器的能力。
因为是基于cookie进行用户识别的，如果cookie被截取，用户就会很容易受到跨站请求伪造的攻击。
在前后端分离的系统中问题更加严重

JWT的认证流程

1. 首先，前端通过web表单将自己的用户名和密码发送到后端的接口，这一过程一般是一个http post请求，建议的方式是通过SSL加密的传输（https协议），从而避免敏感信息被嗅探。
2. 后端核实用户，将用户id等信息作为JWT Payload，将其与头部分别进行Base64编码并拼接后签名，形成一个JWT，形成的JWT就是一个lll,zzz,xxx的字符串
3. 后端将JWt作为登录成功的结果返回给前端，退出登录时前端只要删除保存的JWT即可
4. 前端在每次请求时将JWt放入http header中的Authorization位
5. 后端检查是否存在，可以设置JWt的有效时间
6. 验证通过后，后端使用JWT中包含的用户信息进行其他逻辑操作

JWT的结构

1.令牌组成

标头（Header） 有效载荷（Payload）签名（signature)

1. Header
   由令牌类型和所使用的签名算法组成，例如HMAC SHA256，使用Base64 编码组成第一部分
2. Payload
   主要包括有关实体和其他数据的声明，同样使用Base64 编码
3. Signature
   使用编码后的header和payload加我们自己的一个密钥，然后使用Header中指定的算法进行签名，签名的作用是确定JWT没有被篡改过。

实现一个实例

1.文件结构

2.数据库

创建一个user表，包含字段id，name，password

3.依赖导入

		<dependency>
            <groupId>com.auth0</groupId>
            <artifactId>java-jwt</artifactId>
            <version>3.10.3</version>
        </dependency>
           <dependency>
            <groupId>org.mybatis.spring.boot</groupId>
            <artifactId>mybatis-spring-boot-starter</artifactId>
            <version>2.1.3</version>
        </dependency>
        <dependency>
            <groupId>org.projectlombok</groupId>
            <artifactId>lombok</artifactId>
            <version>1.18.12</version>
        </dependency>
        <dependency>
            <groupId>com.alibaba</groupId>
            <artifactId>druid</artifactId>
            <version>1.1.19</version>
        </dependency>
        <dependency>
            <groupId>mysql</groupId>
            <artifactId>mysql-connector-java</artifactId>
            <version>5.1.47</version>
        </dependency>

4.数据库连接配置

在springboot 项目的application.properties中

server.port=8989
spring.datasource.type=com.alibaba.druid.pool.DruidDataSource
spring.datasource.driver-class-name=com.mysql.jdbc.Driver
spring.datasource.url=jdbc:mysql://localhost:3306/duxing?characterEncoding=UTF-8
spring.datasource.username=root
spring.datasource.password=2020
mybatis.type-aliases-package=com.baizhi.entity
mybatis.mapper-locations=classpath:com/baizhi/mapper/*.xml
logging.level.com.baizhi.dao=debug

5.封装JWTUtils

package com.baizhi.utils;

import com.auth0.jwt.JWT;
import com.auth0.jwt.JWTCreator;
import com.auth0.jwt.JWTVerifier;
import com.auth0.jwt.algorithms.Algorithm;
import com.auth0.jwt.interfaces.DecodedJWT;

import java.util.Calendar;
import java.util.Map;

public class JWTUtils {
	//自己的密钥
    private static final String SING = "!QsfhisllR";
    /**
     * 生成token header payload sign
     */
    public static String getToken(Map<String,String> map){
        Calendar instance = Calendar.getInstance();
        instance.add(Calendar.DATE,7); //默认七天过期
        //创建jwtbuilder
        JWTCreator.Builder builder = JWT.create();
        map.forEach((k,v)->{
                builder.withClaim(k,v);
        });
        //设置过期时间
        String token = builder.withExpiresAt(instance.getTime())
                .sign(Algorithm.HMAC256(SING)); //sign
        return  token;
    }

    /**
     * 验证token 合法性
     * @param token
     */
    public static DecodedJWT verify(String token){
       return JWT.require(Algorithm.HMAC256(SING)).build().verify(token);
    }
}

6.实体类

package com.baizhi.entity;

import lombok.Data;
import lombok.experimental.Accessors;

@Data
@Accessors(chain=true)
public class User {
    private String id;
    private String name;
    private String password;
}

7.mapper

获取数据库中用户信息

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE mapper
        PUBLIC "-//mybatis.org//DTD Mapper 3.0//EN"
        "http://mybatis.org/dtd/mybatis-3-mapper.dtd">
<mapper namespace="com.baizhi.dao.UserDAO">
    <select id="login" parameterType="User" resultType="User">
        select * from user where name=#{name} and password=#{password}
    </select>


</mapper>

8.dao

package com.baizhi.dao;

import com.baizhi.entity.User;
import org.apache.ibatis.annotations.Mapper;

@Mapper
public interface UserDAO {
    User login(User user);
}

9.service

package com.baizhi.service;

import com.baizhi.entity.User;

public interface UserService {
    User login(User user); //登录接口
}

10.业务实现

登录验证，成功返回User失败抛出异常

import com.baizhi.service.UserService;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.stereotype.Service;
import org.springframework.transaction.annotation.Propagation;
import org.springframework.transaction.annotation.Transactional;

@Service
@Transactional
public class UserServiceImpl implements UserService {


    @Autowired
    private UserDAO userDAO;

    @Override
    @Transactional(propagation = Propagation.SUPPORTS)
    public User login(User user) {
        User userDB = userDAO.login(user);
        if(userDB!=null){
            return userDB;
        }
        throw new RuntimeException("登录失败----");
    }
}

11.controller

package com.baizhi.controller;

import com.auth0.jwt.exceptions.AlgorithmMismatchException;
import com.auth0.jwt.exceptions.SignatureVerificationException;
import com.auth0.jwt.exceptions.TokenExpiredException;
import com.auth0.jwt.interfaces.DecodedJWT;
import com.baizhi.entity.User;
import com.baizhi.service.UserService;
import com.baizhi.utils.JWTUtils;
import lombok.extern.slf4j.Slf4j;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.PostMapping;
import org.springframework.web.bind.annotation.RestController;

import javax.servlet.http.HttpServletRequest;
import java.security.SignatureException;
import java.util.HashMap;
import java.util.Map;

@RestController
@Slf4j
public class UserController {
    @Autowired
    private UserService userService;

    @GetMapping("/user/login")
    public Map<String,Object> login(User user){
        log.info("用户名:[{}]",user.getName());
        log.info("密码:[{}]",user.getPassword());
        Map<String,Object> map = new HashMap<>();
        try{
            User userDB = userService.login(user);
            Map<String,String> payload = new HashMap<>();
            payload.put("id",userDB.getId());
            payload.put("name",userDB.getName());
            payload.put("password",userDB.getPassword());
            //生成JWt的令牌
            String token = JWTUtils.getToken(payload);
            map.put("state",true);
            map.put("msg","认证成功");
            map.put("token",token);
        }catch (Exception e){
            map.put("status",false);
            map.put("msg",e.getMessage());
        }
        return map;
    }
    @PostMapping("/user/test")
    public Map<String ,Object> test(HttpServletRequest request){
        Map<String,Object> map = new HashMap<>();
        //处理业务逻辑
        String token = request.getHeader("token");
        DecodedJWT verify = JWTUtils.verify(token);
        log.info("用户id:[{}]",verify.getClaim("id").asString());
        log.info("用户name:[{}]",verify.getClaim("name").asString());
        map.put("state",true);
        map.put("msg","请求成功!");

        return  map;
    }
}

12.拦截器

package com.baizhi.interceptors;

import com.auth0.jwt.exceptions.AlgorithmMismatchException;
import com.auth0.jwt.exceptions.SignatureVerificationException;
import com.auth0.jwt.exceptions.TokenExpiredException;
import com.auth0.jwt.interfaces.DecodedJWT;
import com.baizhi.utils.JWTUtils;
import com.fasterxml.jackson.databind.ObjectMapper;
import org.springframework.web.servlet.HandlerInterceptor;

import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.util.HashMap;
import java.util.Map;


public class JWTInterceptor implements HandlerInterceptor {
    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
        Map<String,Object> map = new HashMap<>();
        //获取请求头里的token
        String token = request.getHeader("token");
        try{
            JWTUtils.verify(token); //验证令牌
            return true;
            //签名异常
        }catch (SignatureVerificationException e){
            e.printStackTrace();
            map.put("msg","无效签名");
            //过期异常
        }catch (TokenExpiredException e){
            e.printStackTrace();
            map.put("msg","token过期");
            //算法不匹配
        }catch (AlgorithmMismatchException e){
            e.printStackTrace();
            map.put("msg","token算法不一致");
            //总异常
        }catch (Exception e){
            e.printStackTrace();
            map.put("msg","token无效");
        }
        map.put("state",false);
        String json = new ObjectMapper().writeValueAsString(map);
        response.setContentType("application/json;charset=UTF-8");
        response.getWriter().println(json);
        return false;
    }
}

13.拦截器的配置

对于login 所有用户放行，而其他的要验证

package com.baizhi.config;

import com.baizhi.interceptors.JWTInterceptor;
import org.springframework.context.annotation.Configuration;
import org.springframework.web.servlet.config.annotation.InterceptorRegistry;
import org.springframework.web.servlet.config.annotation.WebMvcConfigurer;

@Configuration
public class InterceptorConfig implements WebMvcConfigurer {
    @Override
    public void addInterceptors(InterceptorRegistry registry) {
        registry.addInterceptor(new JWTInterceptor())
                .addPathPatterns("/user/test")          //其他接口token验证
                .excludePathPatterns("/user/login");  //所有用户放行
    }
}

使用postman 查看请求结果

在headers中加入token