JWT与shiro结合实现认证

DebugDiver代码深处潜水员

于 2024-09-04 23:22:25 发布

阅读量609

点赞数 10

分类专栏：项目相关文章标签： java

本文链接：https://blog.csdn.net/weixin_42564451/article/details/141906750

版权

项目相关专栏收录该内容

36 篇文章 0 订阅

订阅专栏

随着微服务架构的普及和前后端分离的趋势，越来越多的项目开始采用无状态的认证机制，其中JSON Web Token（JWT）成为了一种流行的选择。与此同时，Apache Shiro作为一个强大且易于使用的Java安全框架，仍然被广泛应用于企业级应用的安全管理中。

1. JWT简介

JWT是一种开放标准（RFC 7519），用于在各方之间安全地传输信息。JWT由三个部分组成：头部（Header）、载荷（Payload）和签名（Signature）。JWT的最大特点是它是自包含的，这意味着所有必要的信息都存储在令牌本身内，因此不需要查询数据库来验证用户身份。这使得JWT非常适合跨域资源共享（CORS）场景下的认证。

2. Apache Shiro概述

Apache Shiro是一个强大且易用的Java安全框架，提供了认证、授权、加密和会话管理功能。Shiro的设计目的是让开发人员能够轻松地处理安全相关的问题，而无需深入理解底层的安全细节。Shiro支持多种认证机制，包括传统的基于会话的认证以及无状态的认证，如JWT。

3. JWT与Shiro的集成

要在Java项目中使用JWT和Shiro，需要完成以下几个步骤：

3.1 引入依赖

首先，在项目的pom.xml文件中添加Shiro和JWT相关的依赖库。例如，使用jjwt库来处理JWT操作：

<dependencies>
    <dependency>
        <groupId>org.apache.shiro</groupId>
        <artifactId>shiro-core</artifactId>
        <version>1.7.1</version>
    </dependency>
    <dependency>
        <groupId>io.jsonwebtoken</groupId>
        <artifactId>jjwt-api</artifactId>
        <version>0.11.2</version>
    </dependency>
    <dependency>
        <groupId>io.jsonwebtoken</groupId>
        <artifactId>jjwt-impl</artifactId>
        <version>0.11.2</version>
    </dependency>
    <dependency>
        <groupId>io.jsonwebtoken</groupId>
        <artifactId>jjwt-jackson</artifactId>
        <version>0.11.2</version>
    </dependency>
</dependencies>

3.2 配置Shiro

接下来，需要配置Shiro以支持JWT。这通常涉及到创建自定义的Realm来处理JWT认证逻辑，并设置过滤器链来决定哪些URL需要认证。

import org.apache.shiro.authc.AuthenticationException;
import org.apache.shiro.authc.AuthenticationInfo;
import org.apache.shiro.authc.AuthenticationToken;
import org.apache.shiro.authc.SimpleAuthenticationInfo;
import org.apache.shiro.realm.AuthorizingRealm;
import io.jsonwebtoken.Claims;
import io.jsonwebtoken.Jwts;

public class JwtRealm extends AuthorizingRealm {

    @Override
    protected AuthenticationInfo doGetAuthenticationInfo(AuthenticationToken token) throws AuthenticationException {
        String jwt = (String) token.getPrincipal();
        Claims claims = Jwts.parser()
                .setSigningKey("your-secret-key")
                .parseClaimsJws(jwt)
                .getBody();

        // 验证JWT有效性...
        if (claims != null) {
            return new SimpleAuthenticationInfo(claims.getSubject(), jwt, getName());
        }

        throw new AuthenticationException("Invalid JWT token");
    }
}

3.3 创建JWT

为了生成JWT，可以利用io.jsonwebtoken库提供的方法：

import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;

public String createJwt(String username) {
    return Jwts.builder()
            .setSubject(username)
            .signWith(SignatureAlgorithm.HS256, "your-secret-key")
            .compact();
}

3.4 验证JWT

每当收到客户端的请求时，都需要验证JWT是否有效。这通常在过滤器中实现：

import org.apache.shiro.web.filter.authc.BasicHttpAuthenticationFilter;
import javax.servlet.FilterChain;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServletRequest;
import java.io.IOException;

public class JwtFilter extends BasicHttpAuthenticationFilter {

    @Override
    protected boolean isAccessAllowed(ServletRequest request, ServletResponse response, Object mappedValue) {
        HttpServletRequest httpServletRequest = (HttpServletRequest) request;
        String token = httpServletRequest.getHeader("Authorization");

        try {
            if (token == null || !validateToken(token)) {
                return false;
            }
        } catch (Exception e) {
            return false;
        }

        return true;
    }

    private boolean validateToken(String token) {
        // 在这里实现JWT验证逻辑...
        return true; // 示例代码
    }
}