vue前后分离session实现_SpringBoot+Shiro+Vue前后端分离项目通过JWT实现自动登录

虽然 Shiro 本身可以支持扩展 RememberMe 功能，但仅限于传统项目

因为 Shiro 的用户信息是基于 Session 进行管理，在前后端分离的项目中无法实现 Session 状态的前后统一

所以本文通过 JWT 对 Shiro 原生的 Session 控制进行替换，从而实现用户信息的前后传递及判断

更多精彩

涉及资料

导入项目所需的依赖

对于 SpringBoot 和 Shiro 的依赖此处不重复介绍

以下是 JWT 的依赖包，就一个即可

com.auth0

java-jwt

3.2.0

创建 JWTToken 替换 Shiro 原生 Token

Shiro 原生的 Token 中存在用户名和密码以及其他信息 [验证码，记住我]

在 JWT 的 Token 中因为已将用户名和密码通过加密处理整合到一个加密串中，所以只需要一个 token 字段即可

public class JWTToken implements AuthenticationToken {

// 密钥

private String token;

public JWTToken(String token) {

this.token = token;

}

@Override

public Object getPrincipal() {

return token;

}

@Override

public Object getCredentials() {

return token;

}

}

创建 JWTUtil 整合 JWT 相关操作

在这个工具类中可以实现对用户名和密码的加密处理，校验 token 是否正确，获取用户名等操作

Algorithm algorithm = Algorithm.HMAC256(password) 是对密码进行加密后再与用户名混淆在一起

在签名时可以通过 .withExpiresAt(date) 指定 token 的过期时间

public class JWTUtil {

// 过期时间30天

private static final long EXPIRE_TIME = 24 * 60 * 30 * 1000;

/**

* 校验token是否正确

*

* @param token 密钥

* @param username 登录名

* @param password 密码

* @return

*/

public static boolean verify(String token, String username, String password) {

try {

Algorithm algorithm = Algorithm.HMAC256(password);

JWTVerifier verifier = JWT.require(algorithm).withClaim("username", username).build();

DecodedJWT jwt = verifier.verify(token);

return true;

} catch (Exception e) {

return false;

}

}

/**

* 获取登录名

*

* @param token

* @return

*/

public static String getUsername(String token) {

try {

DecodedJWT jwt = JWT.decode(token);

return jwt.getClaim("username").asString();

} catch (JWTDecodeException e) {

return null;

}

}

/**

* 生成签名

*

* @param username

* @param password

* @return

*/

public static String sign(String username, String password) {

try {

// 指定过期时间

Date date = new Date(System.currentTimeMillis() + EXPIRE_TIME);

Algorithm algorithm = Algorithm.HMAC256(password);

return JWT.create()

.withClaim("username", username)

.withExpiresAt(date)

.sign(algorithm);

} catch (UnsupportedEncodingException e) {

return null;

}

}

}

创建 JWTFilter 实现前端请求统一拦截及处理

executeLogin() 方法中的 getSubject(request, response).login(token) 就是触发 Shiro Realm 自身的登录控制，具体内容需要手动实现

executeLogin() 始终返回 true 的原因是因为具体的是否登录成功的判断，需要在 Realm 中手动实现，此处不做统一判断

LOGIN_SIGN 是前端放置在 headers 头文件中的登录标识，如果用户发起的请求是需要登录才能正常返回的，那么头文件中就必须存在该标识并携带有效值

public class JWTFilter extends BasicHttpAuthenticationFilter {

// 登录标识

private static String LOGIN_SIGN = "Authorization";

/**

* 检测用户是否登录

* 检测header里面是否包含Authorization字段即可

*

* @param request

* @param response

* @return

*/

@Override

protected boolean isLoginAttempt(ServletRequest request, ServletResponse response) {

HttpServletRequest req = (HttpServletRequest) request;

String authorization = req.getHeader(LOGIN_SIGN);

return authorization != null;

}

@Override

protected boolean executeLogin(ServletReque