登录校验总览-jwt令牌

最新推荐文章于 2024-06-19 20:53:45 发布
最新推荐文章于 2024-06-19 20:53:45 发布
阅读量343 收藏 2
点赞数 6
文章标签： spring spring boot
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_46122805/article/details/138223712
版权

一、前置问题

为什么要登录校验？
   登录校验，就是判断访问资源的用户是否是合法用户，保障安全。如果不设
  置登录校验，就可以跳过登录，直接通过url访问资源。

二、登录校验实现思路：

在服务器端对请求进行统一拦截。浏览器先请求登录接口，登录请求不拦截，登录成
功后，生成一个登录标记，以后每次请求都携带这个登录标记，在服务器端对每次请
求都拦截来校验登录标记，登录标记校验通过，放行请求。

在这里插入图片描述

三、会话技术

为什么学习会话技术？

在上边的内容中我们知道，需要每次请求都携带登录成功后生成的**登录标识**，
但是，浏览器和服务器之间的通信是http请求，http请求是无状态的，两次请
求之间是独立的，无法携带上次请求的数据，但是效率比较高。所以 ，会话
技术就是解决多次请求间共享数据的问题的。

1、会话

浏览器和服务器建立连接，就是会话，直到一方断开，会话结束，一次会话包含多次的请求和响应。如图①②③是一次会话中的多次请求和响应。

在这里插入图片描述

2、会话跟踪

一种维护浏览器状态的方法，服务器需要识别多次请求是否来自于同一会话，以便在同一会话的多次请求中共享数据。如图：①②③是一次会话，⑤是另一次会话

在这里插入图片描述

3、会话跟踪方案

（1）、客户端会话跟踪技术：cookie
①在登录接口生成cookie，服务器会自动的将cookie返回并保存到客户端浏览器，浏览器再次发送请求的时候也会自动的带上cookie。因为cookie是http协议支持的，所以是自动的。
②cookie可以存储key-value值，并以此在服务器端进行校验。
③在http的请求头中，是Cookie字段，在响应头中，是Set-Cookie字段。
④response.addCookie()中可以放置多个Cookie

在这里插入图片描述 在这里插入图片描述

优缺点：
	cookie
		优点：http协议中支持的技术
		缺点：移动端app无法使用
		     用户可以自己禁用cookie
		     不能跨域（协议、IP地址、端口号有一个不同就是跨域）
（2）、服务端会话跟踪技术：session
①session的使用需要依赖cookie，客户端浏览器访问服务器端，服务
器端生成一个session并保存到服务器端，将sessionId通过cookie返
回给浏览器，浏览器存储sessionId，在以后的每次请求中都会携带
sessionId到服务器端来找对应的session。
②服务器端向浏览器端响应sessionId是在Set-Cookie字段中存储，浏
览器向服务端发送请求，sessionId由Cookie携带。
③服务器端使用sessionId寻找session的过程是自动的

在这里插入图片描述在这里插入图片描述

优缺点：
	优点：存储在服务器端，安全
	缺点：
		①服务器集群环境下无法直接使用session（因为session存在服务器端，服务器集群下服务器A没有服务器B中的session）
		②cookie的缺点
（3）、令牌技术

在这里插入图片描述

实现思路：用户登录成功后，生成一个身份标识返回给浏览器，这个身份标识
存储在浏览器中，可以是cookie，也可存储在其他的字段中。等到浏览器向
服务器发送请求时，对请求进行拦截，校验身份标识，校验通过了，说明是
已经登录了，校验不通过，说明还没登录。


优缺点：
		优点：支持pc端，移动端、
			解决集群环境下的认证问题、
			减轻服务器的存储压力
		缺点：需要自己实现（前后端配合）

四、 jwt令牌

1、是什么？

在这里插入图片描述

①jwt字符串的第一部分和第二部分是Base64编码方式，不是加密方式。第三部分是由第一部分指定的签名算法等信息计算而来。
②jwt令牌字符串中的字符只要有一位被篡改了，就校验不通过，很安全。

2、应用场景

在这里插入图片描述

3、jwt生成

（1）、引入jwt依赖

<dependency>
            <groupId>io.jsonwebtoken</groupId>
            <artifactId>jjwt</artifactId>
            <version>0.9.1</version>
</dependency>

(2)、调用工具类生成、解析令牌

public class JwtTest {
    /**
     * 生成jwt令牌
     * */
    @Test
    public void getJwt(){
        HashMap<String, Object> claims = new HashMap<>();
        claims.put("id","1");
        claims.put("name","老白");

        String jwt = Jwts.builder() //Jwts是jwt依赖包提供的工具类，直接调用
                .signWith(SignatureAlgorithm.HS256, "abcd")//加密方式，密钥(长度大于3个字符)
                .setClaims(claims)//载荷数据(自定义的内容)
                .setExpiration(new Date(System.currentTimeMillis() + 3600 * 1000))//令牌有效期
                .compact();

        System.out.println(jwt);
    }

    /**
     * 解析jwt令牌
     * */
    @Test
    public void parseJwt(){
        Claims abcd = Jwts.parser()
                .setSigningKey("abcd")//指定签名密钥
                .parseClaimsJws("eyJhbGciOiJIUzI1NiJ9.eyJuYW1lIjoi6ICB55m9IiwiaWQiOiIxIiwiZXhwIjoxNzE0NDY2ODUxfQ.V1_NcMoICcEJ7HkFNmB-DIZxzx29xa6KqZoBAd5GciA")
                .getBody();//获取令牌中的载荷

        System.out.println(abcd);
    }
}

注意事项：
①jwt校验时使用的签名密钥必要和生成jwt令牌时使用的密钥是相同的
②如果jwt解析校验报错，说明jwt被篡改或失效了，令牌非法。

4、登录后下发令牌

场景：登录成功后生成令牌并返回给前端，前端将jwt令牌放入token中

在这里插入图片描述
在这里插入图片描述postman测试结果：
在这里插入图片描述

	现在有了登录后生成jwt令牌，下边就需要拦截请求，对请求携带的jwt令牌进行校验。可以使用
	Filter（过滤器）或Interceptor(拦截器)对请求进行过滤。

三、过滤器Filter

1、快速入门

在这里插入图片描述在这里插入图片描述

2、详解（执行流程、拦截路径、过滤器链）

在这里插入图片描述在这里插入图片描述在这里插入图片描述在这里插入图片描述

3、登录校验-Filter

在这里插入图片描述

@Slf4j
@WebFilter(urlPatterns = "/*")
public class LoginCheckFilter  implements Filter {
    @Override
    public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException {
        HttpServletRequest req= (HttpServletRequest) servletRequest;
        HttpServletResponse resp= (HttpServletResponse) servletResponse;

        /*1、获取访问路径*/
        String url = req.getRequestURL().toString();

        /*2、判断url中是否包含login，如何包含，说明是登录接口，放行*/
        if(url.contains("login")){
            filterChain.doFilter(servletRequest,servletResponse);
            return;
        }

        /*3、获取请求头中的令牌（token）*/
        String jwt = req.getHeader("token");

        /*4、判断令牌是否存在，如果未存在，返回错误数据*/
        if(!StringUtils.hasLength(jwt)){
            Result error= Result.error("Not_Login");
            //将error转换为json，因为这不是controller，所以需要手动将error转为json数据返回前端
            String notLogin = JSONObject.toJSONString(error);

            resp.getWriter().write(notLogin);
            return;
        }

        /*5、解析token,如果解析失败，返回错误结果（未登录）*/
        try {
            JwtUtil.parseJWT(jwt);
        }catch (Exception e){
            Result error= Result.error("Not_Login");
            //将error转换为json，因为这不是controller，所以需要手动将error转为json数据返回前端
            String notLogin = JSONObject.toJSONString(error);

            resp.getWriter().write(notLogin);
            return;
        }

        /*6、放行*/
        filterChain.doFilter(servletRequest,servletResponse);


    }
}

四、拦截器 interceptor

1、快速入门

在这里插入图片描述在这里插入图片描述

2、详解（拦截路径、执行流程）

在这里插入图片描述在这里插入图片描述

执行流程:
	浏览器发送请求后，filter先进行拦截，顺序执行“放行前逻辑”、“放行”，
放行后请求进入spring的环境中，访问Controller，但是tomcat无法直接识
别Controller,tomcat是servlet程序，所以spring提供了DispatcherServlet
组件，由该组件将请求发送到Controller中，在这之间由拦截器拦截，先执行
preHandle方法，然后访问Controller,执行完成后再回到拦截器执行postHandle
、afterCompletion方法，最后再回到过滤器执行放行后的逻辑。

3、登录校验

在这里插入图片描述

//定义拦截器
@Slf4j
@Component
public class LoginCheckInterceptor implements HandlerInterceptor {
    @Override//访问的目标方法执行前执行  返回true:放行  false:不放行
    public boolean preHandle(HttpServletRequest req, HttpServletResponse resp, Object handler) throws Exception {


        /*1、获取访问路径*/
        String url = req.getRequestURL().toString();

        /*2、判断url中是否包含login，如何包含，说明是登录接口，放行*/
        if(url.contains("login")){
            log.info("登录操作，放行");
            return true;
        }

        /*3、获取请求头中的令牌（token）*/
        String jwt = req.getHeader("token");

        /*4、判断令牌是否存在，如果未存在，返回错误数据*/
        if(!StringUtils.hasLength(jwt)){
            Result error= Result.error("Not_Login");
            //将error转换为json，因为这不是controller，所以需要手动将error转为json数据返回前端
            String notLogin = JSONObject.toJSONString(error);

            resp.getWriter().write(notLogin);
            return false;
        }

        /*5、解析token,如果解析失败，返回错误结果（未登录）*/
        try {
            JwtUtil.parseJWT(jwt);
        }catch (Exception e){
            Result error= Result.error("Not_Login");
            //将error转换为json，因为这不是controller，所以需要手动将error转为json数据返回前端
            String notLogin = JSONObject.toJSONString(error);

            resp.getWriter().write(notLogin);
            return false;
        }

        /*6、放行*/
        return true;
    }

    @Override//目标方法执行后执行
    public void postHandle(HttpServletRequest request, HttpServletResponse response, Object handler, ModelAndView modelAndView) throws Exception {
        System.out.println("postHandle执行了");

    }

    @Override//视图渲染完后执行，最后执行的
    public void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler, Exception ex) throws Exception {
        System.out.println("afterCompletion执行了");
    }
}

//注册配置拦截器
@Configuration
public class LoginCheckConfiguration implements WebMvcConfigurer {

    @Autowired
    private LoginCheckInterceptor loginCheckInterceptor;

    @Override
    public void addInterceptors(InterceptorRegistry registry) {
        registry.addInterceptor(loginCheckInterceptor).addPathPatterns("/**").excludePathPatterns("/login");
        //excludePathPatterns("/login")可以不要，因为在拦截器中也对登录请求进行了过滤
    }
}

以上内容学自“黑马程序员”公开课程

冯小鸟的探戈
关注
  • 6
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
tomcat-jwt-security:基于JWT令牌实现安全阀
05-10
该项目旨在将JWT令牌身份验证功能引入Tomcat 8 ，从而将身份验证过滤器实现为Tomcat Valve。 JWT操作基于项目。 对于Tomcat 7，请使用或克隆。 基于Valve的身份验证应该可以与放置在web.xml文件中的Java标准安全...
Flask-RestAPI-jwt:具有用户身份验证的Flask Rest API
04-12
JWT代表JSON WEB TOKEN，是在两方或实体之间传输随机令牌的一种安全方法。 API（应用程序编程接口）允许两个应用程序之间的通信来检索或提交数据。 REST API属于请求-响应类别。 Flask是python开发人员用来构建...
Cookie Session和登录验证
Jimmywowo的博客
01-29 304
Cookie Session和登录验证前言一、cookie是什么？koa设置cookiecookie用于登录校验二、session是什么？三 登录验证的过程配置模拟登陆对接数据库总结 前言 提示：这里可以添加本文要记录的大概内容： 例如：随着人工智能的不断发展，机器学习这门技术也越来越重要，很多人都开启了学习机器学习，本文就介绍了机器学习的基础内容。 提示：以下是本篇文章正文内容，下面案例可供参考 一、cookie是什么？ 存贮在浏览器的一段字符，最大5kb， 上限20条，看浏览器设置。 每一个域都
登录校验-JWT令牌-介绍
weixin_64939936的博客
08-25 172
载荷（Payload）：载荷是JWT的第二部分，包含了一些声明（claims），用于描述关于用户和其他数据的信息。JWT的载荷可以包含预定义的声明（如iss（签发者）、exp（过期时间）等）和自定义的声明。1. 头部（Header）：`eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9`，它包含了令牌的类型（"alg"）和使用的加密算法（"typ"）。签名（Signature）：签名是JWT的第三部分，用于验证JWT的完整性和真实性。签名是通过将头部、载荷和一个密钥进行加密生成的。
SpringBootWeb案例3--登录认证--登录校验--JWT令牌
m0_59281987的博客
04-27 692
定义了一种简洁的、自包含的格式，用于在通信双方以json数据格式安全的传输信息。由于数字签名的存在，这些信息是可靠的。简洁：是指jwt就是一个简单的字符串。可以在请求参数或者是请求头当中直接传递。自包含：指的是jwt令牌，看似是一个随机的字符串，但是我们是可以根据自身的需求在jwt令牌中存储自定义的数据内容。如：可以直接在jwt令牌中存储用户的相关信息。简单来讲，jwt就是将原始的json数据格式进行了安全的封装，这样就可以直接基于jwt在通信双方安全的进行信息传输了。
登录校验-jwt令牌-登录后下发令牌
qq_48196025的博客
11-11 31
登录校验-jwt令牌-登录后下发令牌
登录校验-JWT令牌-登陆后下发令牌
weixin_64939936的博客
08-26 607
从浏览器发送请求至服务端进行登录请求的功能接口已经实现，接下来需要进行实现的功能接口就是校验访问的用户是否登录成功，即需要完成用户登录成功后为其下发JWT令牌，并在其下一次登陆时进行令牌的校验。在接口文档中已经说明用户登录成功后，系统会自动下发JWT令牌，然后在后续的每次请求中，都需要在请求头header中携带到服务端，请求头的名称为 token ，值为 登录时下发的 JWT令牌。在登陆界面登录成功过后，访问部门页面。
【SpringBoot篇】登录校验 — JWT令牌
小吉妙妙屋
11-29 9103
头部包含了令牌使用的加密算法信息，载荷包含了所需传输的用户信息，签名用于保证令牌的完整性和真实性，防止令牌被篡改。每次向服务器发送请求时，在请求的头部中携带该令牌，以便服务器对请求进行身份验证。服务器收到请求后，从请求头中提取JWT令牌，并进行解析和验证。用户向服务器发送登录请求，服务器进行身份验证，如果验证成功则返回一个JWT令牌给客户端。（相当于校验令牌，只要解析令牌不报错，就相当于校验jwt令牌正确）运行后发现，出现了jwt令牌。
登录校验 - JWT令牌
m0_65373587的博客
02-28 175
主要用第三个 JWT令牌。
登录校验-JWT令牌-生成和校验
weixin_64939936的博客
08-26 378
【代码】登录校验-JWT令牌-生成和校验。
03-JWT令牌和普通令牌的区别，JWT令牌的格式和生成
欢迎阅读我的博客
12-27 907
03-JWT令牌和普通令牌的区别，JWT令牌的格式和生成
JAVA实现登录校验（JWT令牌实现）
05-06
JWT令牌工具类
express-jwt-permissions：用于JWT权限的Express中间件
02-05
检查JWT令牌的权限的中间件，建议与一起使用。 安装 npm install express-jwt-permissions --save 用法 该中间件假定您已经具有JWT身份验证中间件，例如 。 中间件将检查已解码的JWT令牌，以查看令牌是否具有发出...
lambda-authorizer-jwt:适用于AWS API网关的Lambda授权器，用于解码和验证JSON Web令牌
05-01
JWT令牌Lambda授权者概述此函数使用jwks-rsa和jsonwebtoken npm软件包来实现JSON Web令牌（JWT）的令牌验证。 这些令牌由ID提供者使用OAuth2协议授予。 授权者希望在Authorization标头中找到一个JWT。 来自身份提供...
Vue + SpringBoot 实现文件的断点上传、秒传，存储到Minio
最新发布
m0_73179389的博客
06-19 518
前端页面使用的elment-plus的el-upload组件。当上传文件后，会调用handleChange 方法，可以在这里进行文件相关的操作。计算文件的MD5值。
Spring 事务传播行为之Propagation.NESTED REQUIRES_NEW等探讨
chengmin123456789的博客
06-17 224
当一个事务方法（标记为@Transactional(propagation = Propagation.NESTED))被另一个活动事务调用时，它会创建一个“保存点”（Savepoint）作为新的事务开始点。这意味着，如果这个嵌套事务方法内部发生异常并导致回滚，事务会回滚到这个保存点，而不会影响到外部事务的其他操作。如果一切正常，嵌套事务会在外部事务结束时一起提交。
springboot“漫画之家”系统 LW+PPT+源码
u014445459的博客
06-17 866
链接：https://pan.baidu.com/s/1ihILTui-XEFdC15mcOB0vA?pwd=ewry提取码：ewry由于本系统是作为毕业设计系统，且系统本身存在一些技术层面的缺陷，并不能直接用于商业用途，只想要通过该系统的开发提高自身学术水平，不需要特定服务器等额外花费。所有创造及工作过程仅需在个人电脑上就能实现，使用到的软件大多为开源软件，所以经济成本并不高，可以轻易实现。
用java结合springboot给登录写个用户名和密码JWT令牌验证
04-20
好的，这个问题属于技术问题，关于Java结合SpringBoot给登录写个用户名和密码JWT令牌验证，你可以参考以下步骤： 1. 在SpringBoot项目的pom.xml文件中添加JWT依赖： ``` <groupId>io.jsonwebtoken <artifactId>...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值