极简入门！在 Spring Security 项目中集成了 JWT 令牌，畅通无阻地访问 API

2023-10-30 11:41:02

在现代网络环境中，安全可靠的用户身份验证至关重要。JSON Web Token (JWT) 令牌提供了一种基于 JSON 的轻量级且可扩展的身份验证机制，使开发者能够轻松安全地管理用户访问权限。本文将详细介绍如何在 Spring Security 项目中集成 JWT 令牌，确保您的 API 通行无阻。

一、概述

JWT 令牌由头部、载荷和签名三部分组成。头部包含元数据，如令牌类型和签名算法；载荷包含用户声明，如用户名、角色和到期时间；签名则是头部和载荷的哈希值生成的唯一签名。JWT 令牌的优点包括易用性、跨平台支持、安全性和轻量级。

二、Spring Security 中集成 JWT

1. 导入 Spring Security 依赖项

在 pom.xml 文件中添加 Spring Security 和 JWT 相关的依赖项：

<dependencies>
    <dependency>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-security</artifactId>
    </dependency>
    <dependency>
        <groupId>io.jsonwebtoken</groupId>
        <artifactId>jjwt</artifactId>
        <version>0.9.1</version>
    </dependency>
</dependencies>

2. 配置 Spring Security 安全配置类

创建一个配置类，启用 Spring Security 并配置 JWT 过滤器：

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.config.http.SessionCreationPolicy;
import org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter;

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Bean
    public UsernamePasswordAuthenticationFilter jwtAuthenticationFilter() throws Exception {
        UsernamePasswordAuthenticationFilter filter = new UsernamePasswordAuthenticationFilter();
        filter.setAuthenticationManager(authenticationManagerBean());
        return filter;
    }

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.csrf().disable()
            .authorizeRequests()
            .antMatchers("/login").permitAll()
            .anyRequest().authenticated()
            .and()
            .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS);

        http.addFilterBefore(jwtAuthenticationFilter(), UsernamePasswordAuthenticationFilter.class);
    }
}

3. 生成 JWT 令牌

创建一个工具类，用于生成 JWT 令牌：

import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;

public class JWTGenerator {

    public String generateToken(String username) {
        long now = System.currentTimeMillis();
        long exp = now + (30 * 60 * 1000); // 30 分钟后过期

        String secretKey = "mySecretKey";

        return Jwts.builder()
                .setSubject(username)
                .setExpiration(new Date(exp))
                .signWith(SignatureAlgorithm.HS512, secretKey)
                .compact();
    }
}

4. 在请求头中包含 JWT 令牌

在控制器中，从请求头中获取 JWT 令牌并进行验证：

import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RequestHeader;
import org.springframework.web.bind.annotation.RestController;

@RestController
public class ApiController {

    @GetMapping("/api/data")
    public String getData(@RequestHeader("Authorization") String token) {
        if (token != null && token.startsWith("Bearer ")) {
            String jwtToken = token.substring(7);
            if (JWTVerifier.verifyToken(jwtToken)) {
                return "Access granted!";
            }
        }
        return "Access denied!";
    }
}