###
Spring Boot Security JWT
Token Integration Tutorial
#### 1. 添加必要的依赖项
为了实现基于JWT的安全机制，在`pom.xml`文件中除了常规的
Spring Boot Starter外，还需要加入安全模块以及JSON Web
Tokens的支持。
```xml
<dependencies>
<!--
Spring Boot Starter Security -->
<dependency>
<groupId>org.
springframework.
boot</groupId>
<artifactId>
spring-
boot-starter-security</artifactId>
</dependency>
<!-- JSON Web
Token Support -->
<dependency>
<groupId>io.jsonweb
token</groupId>
<artifactId>jjwt-api</artifactId>
<version>0.11.2</version>
</dependency>
<dependency>
<groupId>io.jsonweb
token</groupId>
<artifactId>jjwt-impl</artifactId>
<version>0.11.2</version>
<scope>runtime</scope>
</dependency>
<dependency>
<groupId>io.jsonweb
token</groupId>
<artifactId>jjwt-jackson</artifactId> <!-- or jjwt-gson if Gson is preferred -->
<version>0.11.2</version>
<scope>runtime</scope>
</dependency>
</dependencies>
```
上述配置引入了用于创建和验证JWT令牌所需的库[^2]。
#### 2. 配置Security设置
通过自定义`WebSecurityConfigurerAdapter`类来调整默认的安全策略。这一步骤涉及定义哪些URL路径应该受到保护，并指定
登录逻辑处理方式。
```
java
@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
@Override
protected void configure(HttpSecurity http) throws Exception {
http.csrf().disable()
.authorizeRequests()
.antMatchers("/authenticate").permitAll() // Allow everyone to access the authentication endpoint.
.anyRequest().authenticated(); // All other requests require authentication.
// Add custom filter for processing
tokens before reaching controllers.
http.addFilterBefore(new JwtRequestFilter(), UsernamePasswordAuthenticationFilter.class);
}
}
```
此部分代码禁用了CSRF防护并设置了基本的身份验证规则，允许未授权访问特定端点（如身份验证API），而其他请求则需经过身份验证才能继续执行[^3]。
#### 3. 创建
Token服务
构建一个简单的
接口用来生成新的JWT实例；通常情况下会包含用户的唯一标识符作为载荷的一部分。
```
java
@Service
public class JwtUtil {
private String secret = "your_secret_key";
public String generate
Token(UserDetails userDetails){
Map<String, Object> claims = new HashMap<>();
return Jwts.builder()
.setClaims(claims)
.setSubject(userDetails.getUsername())
.setIssuedAt(new Date(System.currentTimeMillis()))
.setExpiration(new Date(System.currentTimeMillis()
+ 1000 * 60 * 60 * 10)) // Expire after 10 hours.
.signWith(SignatureAlgorithm.HS512, secret).compact();
}
public Boolean validate
Token(String
token, UserDetails userDetails){
final String username = getUsernameFrom
Token(
token);
return (username.equals(userDetails.getUsername()) && !is
TokenExpired(
token));
}
private String getUsernameFrom
Token(String
token){
return getAllClaimsFrom
Token(
token).getSubject();
}
private Claims getAllClaimsFrom
Token(String
token){
return Jwts.parser().setSigningKey(secret).parseClaimsJws(
token).getBody();
}
private Boolean is
TokenExpired(String
token){
final Date expiration = getExpirationDateFrom
Token(
token);
return expiration.before(new Date());
}
private Date getExpirationDateFrom
Token(String
token){
return getAllClaimsFrom
Token(
token).getExpiration();
}
}
```
这段
Java程序展示了如何利用`JJWT`库中的工具方法来编码/解码
token字符串，并提供了几个辅助函数来进行签名验证和其他操作[^4]。
#### 4. 实现过滤器以解析传入HTTP头内的Bearer
Token
编写一个实现了`OncePerRequestFilter`
接口的新组件，它会在每次收到客户端发送过来的数据包之前自动触发，从而可以从中提取出携带者凭证信息并尝试完成用户身份确认过程。
```
java
@Component
public class JwtRequestFilter extends OncePerRequestFilter {
@Autowired
private MyUserDetailsService userDetailsService;
@Autowired
private JwtUtil jwtUtil;
@Override
protected void doFilterInternal(HttpServletRequest request,
HttpServletResponse response,
FilterChain chain)throws ServletException, IOException{
final String authorizationHeader = request.getHeader("Authorization");
String username = null;
String jwt = null;
if (authorizationHeader != null && authorizationHeader.startsWith("Bearer ")) {
jwt = authorizationHeader.substring(7);
try {
username = jwtUtil.getUsernameFrom
Token(jwt);
} catch(IllegalArgumentException e){
System.out.println("Unable to get JWT
Token");
}catch(JwtException e){
System.out.println("JWT
token is expired or invalid");
}
}else{
logger.warn("couldn't find bearer string, will ignore the header");
}
if (username != null && SecurityContextHolder.getContext().getAuthentication() == null) {
UserDetails userDetails = this.userDetailsService.loadUserByUsername(username);
if (jwtUtil.validate
Token(jwt, userDetails)){
UsernamePasswordAuthentication
Token auth
Token =
new UsernamePasswordAuthentication
Token(
userDetails,null,userDetails.getAuthorities());
auth
Token.setDetails(new WebAuthenticationDetailsSource().buildDetails(request));
SecurityContextHolder.getContext().setAuthentication(auth
Token);
}
}
chain.doFilter(request,response);
}
}
```
该片段说明了一个典型的拦截链路设计模式的应用场景——即每当有新连接建立时都会先调用此类对象的方法去检查是否存在有效的认证凭据，如果存在，则更新当前线程关联的安全上下文环境以便后续业务层能够获取到已知的身份详情记录[^5]。
最低0.47元/天 解锁文章
扫一扫
1万+
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
