Springboot+Spring-Security+JWT 实现用户登录和权限认证

yuwinter

已于 2024-10-11 11:05:23 修改

阅读量942

点赞数 18

于 2024-10-10 14:20:14 首次发布

本文链接：https://blog.csdn.net/yuwinter/article/details/142820245

版权

1. 环境准备

安装 JDK：确保你的开发环境中安装了 JDK 8 及以上版本。
创建 Spring Boot 项目：可以使用 Spring Initializr（https://start.spring.io/）创建一个新的Spring Boot 项目，添加以下依赖：
- Spring Web
- Spring Security
- Spring Data JPA（如果使用数据库）
- JWT（可以通过 Maven 或 Gradle 手动添加）

2. 项目结构

你的项目结构大致可以是这样的：

src/main/java/com/example/demo
│
├── config
│   ├── SecurityConfig.java
│   └── WebSecurityConfig.java
├── controller
│   └── AuthController.java
├── model
│   ├── User.java
│   └── Role.java
├── repository
│   └── UserRepository.java
├── service
│   ├── UserService.java
│   └── JwtService.java
└── DemoApplication.java

3. 用户模型

首先定义用户模型，例如 User 类：

@Entity
public class User {
    @Id
    @GeneratedValue(strategy = GenerationType.IDENTITY)
    private Long id;
    
    private String username;
    private String password;
    
    // 其他属性和 getter/setter
}

4. JWT 工具类

创建一个 JWT 工具类，用于生成和解析 JWT：

@Component
public class JwtService {
    private final String SECRET_KEY = "your_secret_key"; // 请使用更复杂的密钥

    public String generateToken(UserDetails userDetails) {
        return Jwts.builder()
                .setSubject(userDetails.getUsername())
                .setExpiration(new Date(System.currentTimeMillis() + 1000 * 60 * 60 * 10)) // 10小时过期
                .signWith(SignatureAlgorithm.HS256, SECRET_KEY)
                .compact();
    }

    public String extractUsername(String token) {
        return Jwts.parser().setSigningKey(SECRET_KEY).parseClaimsJws(token).getBody().getSubject();
    }

    public boolean isTokenExpired(String token) {
        return Jwts.parser().setSigningKey(SECRET_KEY).parseClaimsJws(token).getBody().getExpiration().before(new Date());
    }
}

5. 安全配置

创建安全配置类，配置 Spring Security：

@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.csrf().disable()
            .authorizeRequests()
            .antMatchers("/auth/login").permitAll()
            .anyRequest().authenticated()
            .and()
            .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS);
        
        http.addFilterBefore(new JwtAuthenticationFilter(), UsernamePasswordAuthenticationFilter.class);
    }
}

6. 认证控制器

创建认证控制器，处理用户登录请求：

@RestController
@RequestMapping("/auth")
public class AuthController {
    @Autowired
    private AuthenticationManager authenticationManager;

    @Autowired
    private JwtService jwtService;

    @PostMapping("/login")
    public ResponseEntity<String> login(@RequestBody AuthRequest request) {
        authenticationManager.authenticate(
                new UsernamePasswordAuthenticationToken(request.getUsername(), request.getPassword())
        );
        String token = jwtService.generateToken(userDetails);
        return ResponseEntity.ok(token);
    }
}

7. 用户认证和授权

实现用户认证的逻辑，以及如何从 JWT 中提取用户信息，进行权限校验。

8.架构

以下是这种架构的流程和整体图解：

+-----------------------+      +-----------------------+ 
|    Client (Frontend)   |      |      Database         |
+-----------------------+      +-----------------------+
           |                              |
           v                              v
+-----------------------+      +-----------------------+  
|  Authentication API    |<--> |  User/Role Repository  |
|  (Login/Register)      |      |                       |
+-----------------------+      +-----------------------+
           |
           v
+-----------------------+
| JWT Generation Module |
|  - Sign JWT           |
|  - Validate JWT       |
+-----------------------+
           |
           v
+-----------------------+      +-----------------------+
|  JWT Filter Middleware|----->|  Business Logic Layer  | (Secured Endpoints)
+-----------------------+      +-----------------------+
           |
           v
+-----------------------+
|  Spring Security      | 
|  - Role/Permission    |
|  - User Authentication|
+-----------------------+
           |
           v
+-----------------------+
|  HTTP Response (Token/|
|  Authenticated Data)  |
+-----------------------+
           |
           v
+-----------------------+
|      Client (Frontend)|
+-----------------------+