AI 助理
文档备案控制台
开发者社区 大数据与机器学习 文章 正文

6.鉴权

2025-12-29 35
版权
版权声明：
本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《 阿里云开发者社区用户服务协议》和 《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写 侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
简介： 本文介绍基于Spring Security与JWT实现客户端Token认证方案，涵盖依赖配置、安全设置、JWT生成与验签、自定义认证及过滤器实现，结合RBAC权限控制，保护Spring Boot应用接口安全。

1.客户端Token方案
1.1 实现思路

1.2 实现细节
参考：https://www.cnblogs.com/dalaoyang/p/11783225.html
2.JWT + Security
● RFC7519
● JWT

JWT很大程度上还是个新技术，通过使用HMAC(Hash-based Message Authentication Code)计算信息摘要，也可以用RSA公私钥中的私钥进行签名。这个根据业务场景进行选择。
2.1 pom依赖


org.springframework.boot
spring-boot-starter-security


io.jsonwebtoken
jjwt
0.7.0


在/login进行登录并获得Token。剩余接口做token验签，这里我们需要将spring-boot-starter-security加入pom.xml。加入后，我们的Spring Boot项目将需要提供身份验证，相关的pom.xml如下:

至此我们剩余所有的路由都需要身份验证。我们将引入一个安全设置类WebSecurityConfig，这个类需要从WebSecurityConfigurerAdapter类继承。
2.2 安全设置类WebSecurityConfig

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.http.HttpMethod;
import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter;

@Configuration
@EnableWebSecurity
class WebSecurityConfig extends WebSecurityConfigurerAdapter {
// 设置 HTTP 验证规则
@Override
protected void configure(HttpSecurity http) throws Exception {
// 关闭csrf验证
http.csrf().disable()
// 对请求进行认证
.authorizeRequests()
// 所有 / 的所有请求 都放行
.antMatchers("/").permitAll()
// 所有 /login 的POST请求 都放行
.antMatchers(HttpMethod.POST, "/login").permitAll()
// 权限检查
.antMatchers("/hello").hasAuthority("AUTH_WRITE")
// 角色检查
.antMatchers("/world").hasRole("ADMIN")
// 所有请求需要身份认证
.anyRequest().authenticated()
.and()
// 添加一个过滤器 所有访问 /login 的请求交给 JWTLoginFilter 来处理 这个类处理所有的JWT相关内容
.addFilterBefore(new JWTLoginFilter("/login", authenticationManager()),
UsernamePasswordAuthenticationFilter.class)
// 添加一个过滤器验证其他请求的Token是否合法
.addFilterBefore(new JWTAuthenticationFilter(),
UsernamePasswordAuthenticationFilter.class);
}

@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
    // 使用自定义身份验证组件
    auth.authenticationProvider(new CustomAuthenticationProvider());
}

// 注入自定义Bean，保证该类能够注入其它Bean，如果没有这步将导致CustomAuthenticationProvider中注入Bean失败
@Bean
CustomAuthenticationProvider customAuthenticationProvider() {
    return new CustomAuthenticationProvider();
}

}

先放两个基本类，一个负责存储用户名密码，另一个是一个权限类型，负责存储权限和角色。
2.3 权限类型及角色类
import org.springframework.security.core.GrantedAuthority;

class GrantedAuthorityImpl implements GrantedAuthority{
private String authority;
public GrantedAuthorityImpl(String authority) {
this.authority = authority;
}
public void setAuthority(String authority) {
this.authority = authority;
}
@Override
public String getAuthority() {
return this.authority;
}
}
2.4 用户名密码类

class AccountCredentials {
private String username;
private String password;
public String getUsername() {
return username;
}
public void setUsername(String username) {
this.username = username;
}
public String getPassword() {
return password;
}
public void setPassword(String password) {
this.password = password;
}
}

在上面的安全设置类中，我们设置所有人都能访问/和POST方式访问/login，其他的任何路由都需要进行认证。然后将所有访问/login的请求，都交给JWTLoginFilter过滤器来处理。稍后我们会创建这个过滤器和其他这里需要的JWTAuthenticationFilter和CustomAuthenticationProvider两个类。
2.5 JWT生成及验签类

import com.test.framework.client.dto.response.JSONResultDTO;
import io.jsonwebtoken.Claims;
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;
import org.springframework.security.authentication.UsernamePasswordAuthenticationToken;
import org.springframework.security.core.Authentication;
import org.springframework.security.core.GrantedAuthority;
import org.springframework.security.core.authority.AuthorityUtils;

import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;
import java.util.Date;
import java.util.List;

class TokenAuthenticationService {
// 5天(单位ms,需要是24H的整数倍：如0.1倍，1倍，10倍，不能0.34倍)
static final long EXPIRATIONTIME = 432_000_000;
static final String SECRET = "P@ssw02d"; // JWT密码
static final String TOKEN_PREFIX = "Bearer"; // Token前缀
static final String HEADER_STRING = "Authorization";// 存放Token的Header Key
// JWT生成方法
static void addAuthentication(HttpServletResponse response, String username) {
// 生成JWT
String JWT = Jwts.builder()
// 保存权限（角色）
.claim("authorities", "ROLE_ADMIN,AUTH_WRITE")
// 用户名写入标题
.setSubject(username)
// 有效期设置
.setExpiration(new Date(System.currentTimeMillis() + EXPIRATIONTIME))
// 签名设置
.signWith(SignatureAlgorithm.HS512, SECRET)
.compact();
// 将 JWT 写入 body
try {
response.setContentType("application/json");
response.setStatus(HttpServletResponse.SC_OK);
response.getOutputStream().println(JSONResult.fillResultString(0, "", JWT));
} catch (IOException e) {
e.printStackTrace();
}
}
// JWT验证方法
static Authentication getAuthentication(HttpServletRequest request) {
// 从Header中拿到token
String token = request.getHeader(HEADER_STRING);
if (token != null) {
// 解析 Token
Claims claims = Jwts.parser()
// 验签
.setSigningKey(SECRET)
// 去掉 Bearer
.parseClaimsJws(token.replace(TOKEN_PREFIX, ""))
.getBody();
// 拿用户名
String user = claims.getSubject();
// 得到 权限（角色）
List authorities = AuthorityUtils.commaSeparatedStringToAuthorityList((String) claims.get("authorities"));
// 返回验证令牌
return user != null ?
new UsernamePasswordAuthenticationToken(user, null, authorities) :
null;
}
return null;
}
}

这个类就两个static方法，一个负责生成JWT，一个负责认证JWT最后生成验证令牌。注释已经写得很清楚了，这里不多说了。
下面来看自定义验证组件，这里简单写了，这个类就是提供密码验证功能，在实际使用时换成自己相应的验证逻辑，从数据库中取出、比对、赋予用户相应权限。
2.6 自定义验证组件类

import com.test.framework.web.domain.dbdo.doctor.DoctorDTO;
import com.test.framework.web.domain.dbdo.patient.UserDTO;
import com.test.framework.web.domain.vo.GrantedAuthorityVo;
import com.test.framework.web.service.doctor.DoctorService;
import com.test.framework.web.service.user.UserService;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.security.authentication.AuthenticationProvider;
import org.springframework.security.authentication.BadCredentialsException;
import org.springframework.security.authentication.UsernamePasswordAuthenticationToken;
import org.springframework.security.core.Authentication;
import org.springframework.security.core.AuthenticationException;

import java.util.ArrayList;

// 自定义身份认证验证组件
class CustomAuthenticationProvider implements AuthenticationProvider { 

@Autowired
private UserService userService;

@Override
public Authentication authenticate(Authentication authentication) throws AuthenticationException {
    // 获取认证的用户名 & 密码
    String name = authentication.getName();
    String password = authentication.getCredentials().toString();
    // 认证逻辑，我这里以password为类型，name为真正的查询参数进行DB查询，不同业务场景可以自定义参数查询
    // 验证用户名密码是否存在
    boolean isExist = false;
    if("patient".equalsIgnoreCase(password)) {
        // 查询患者信息是否存在
        UserDTO user = userService.getUserByIdCardNo(name);
        if(null != user) {
            isExist = true;
        }
    }
    if (isExist) {
        // 这里设置权限和角色
        ArrayList<GrantedAuthority> authorities = new ArrayList<>();
        authorities.add( new GrantedAuthorityImpl("ROLE_ADMIN") );
        authorities.add( new GrantedAuthorityImpl("AUTH_WRITE") );
        // 生成令牌
        Authentication auth = new UsernamePasswordAuthenticationToken(name, password, authorities);
        return auth;
    }else {
        throw new BadCredentialsException("密码错误~");
    }
}
// 是否可以提供输入类型的认证服务
@Override
public boolean supports(Class<?> authentication) {
    return authentication.equals(UsernamePasswordAuthenticationToken.class);
}

}

2.7 接口类
@Service
public class UserServiceImpl implements UserService { 

@Autowired
private UserMapper userMapper;

@Override
public UserDTO getUserByIdCardNo(String idCardNo) {
    return userMapper.getUserByIdCardNo(idCardNo);
}

}
@Repository
public interface UserMapper { 

/**
 * 查找患者信息
 * @param idCardNo
 * @return
 */
UserDTO getUserByIdCardNo(String idCardNo);

}


SELECT * FROM USER


ID_CARD_NO =#{idCardNo}

AND VALID_FLAG='ENABLE'

LIMIT 1

下面实现JWTLoginFilter 这个Filter比较简单，除了构造函数需要重写三个方法。
● attemptAuthentication - 登录时需要验证时候调用
● successfulAuthentication - 验证成功后调用
● unsuccessfulAuthentication - 验证失败后调用，这里直接灌入500错误返回，由于同一JSON返回，HTTP就都返回200了

2.8 JWTLoginFilter

import com.fasterxml.jackson.databind.ObjectMapper;
import com.test.framework.client.dto.response.JSONResultDTO;
import com.test.framework.web.domain.vo.AccountCredentials;
import org.springframework.security.authentication.AuthenticationManager;
import org.springframework.security.authentication.UsernamePasswordAuthenticationToken;
import org.springframework.security.core.Authentication;
import org.springframework.security.core.AuthenticationException;
import org.springframework.security.web.authentication.AbstractAuthenticationProcessingFilter;
import org.springframework.security.web.util.matcher.AntPathRequestMatcher;

import javax.servlet.FilterChain;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;

class JWTLoginFilter extends AbstractAuthenticationProcessingFilter {
public JWTLoginFilter(String url, AuthenticationManager authManager) {
super(new AntPathRequestMatcher(url));
setAuthenticationManager(authManager);
}
@Override
public Authentication attemptAuthentication(
HttpServletRequest req, HttpServletResponse res)
throws AuthenticationException, IOException, ServletException {
// JSON反序列化成 AccountCredentials
AccountCredentials creds = new ObjectMapper().readValue(req.getInputStream(), AccountCredentials.class);
// 返回一个验证令牌
return getAuthenticationManager().authenticate(
new UsernamePasswordAuthenticationToken(
creds.getUsername(),
creds.getPassword()
)
);
}
@Override
protected void successfulAuthentication(
HttpServletRequest req,
HttpServletResponse res, FilterChain chain,
Authentication auth) throws IOException, ServletException {
TokenAuthenticationService.addAuthentication(res, auth.getName());
}
@Override
protected void unsuccessfulAuthentication(HttpServletRequest request, HttpServletResponse response, AuthenticationException failed) throws IOException, ServletException {
response.setContentType("application/json");
response.setStatus(HttpServletResponse.SC_OK);
response.getOutputStream().println(JSONResult.fillResultString(500, "Internal Server Error!!!", JSONObject.NULL));
}
}

再完成最后一个类JWTAuthenticationFilter，这也是个拦截器，它拦截所有需要JWT的请求，然后调用TokenAuthenticationService类的静态方法去做JWT验证。

2.9 拦截器JWTAuthenticationFilter

import org.springframework.security.core.Authentication;
import org.springframework.security.core.context.SecurityContextHolder;
import org.springframework.web.filter.GenericFilterBean;

import javax.servlet.FilterChain;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServletRequest;
import java.io.IOException;

class JWTAuthenticationFilter extends GenericFilterBean {
@Override
public void doFilter(ServletRequest request,
ServletResponse response,
FilterChain filterChain)
throws IOException, ServletException {
Authentication authentication = TokenAuthenticationService
.getAuthentication((HttpServletRequest)request);
SecurityContextHolder.getContext()
.setAuthentication(authentication);
filterChain.doFilter(request,response);
}
}

现在代码就写完了，整个Spring Security结合JWT基本就差不多了，下面我们来测试下，并说下整体流程。
开始测试，先运行整个项目，这里介绍下过程：
● 先程序启动 - main函数
● 注册验证组件 - WebSecurityConfig 类 configure(AuthenticationManagerBuilder auth)方法，这里我们注册了自定义验证组件
● 设置验证规则 - WebSecurityConfig 类 configure(HttpSecurity http)方法，这里设置了各种路由访问规则
● 初始化过滤组件 - JWTLoginFilter 和 JWTAuthenticationFilter 类会初始化
首先测试获取Token，这里使用CURL命令行工具来测试。
2.10 验证

curl -H "Content-Type: application/json" -X POST -d '{"username":"admin","password":"123456"}' http://127.0.0.1:8080/login

结果：

{
"result": "eyJhbGciOiJIUzUxMiJ9.eyJhdXRob3JpdGllcyI6IlJPTEVfQURNSU4sQVVUSF9XUklURSIsInN1YiI6ImFkbWluIiwiZXhwIjoxNDkzNzgyMjQwfQ.HNfV1CU2CdAnBTH682C5-KOfr2P71xr9PYLaLpDVhOw8KWWSJ0lBo0BCq4LoNwsK_Y3-W3avgbJb0jW9FNYDRQ",
"message": "",
"status": 0
}

这里我们得到了相关的JWT，反Base64之后,就是下面的内容，标准JWT。

{"alg":"HS512"}{"authorities":"ROLE_ADMIN,AUTH_WRITE","sub":"admin","exp":1493782240}ͽ]BS`pS6~hCVH%
ܬ)֝ଖoE5р

整个过程如下：
● 拿到传入JSON，解析用户名密码 - JWTLoginFilter 类 attemptAuthentication 方法
● 自定义身份认证验证组件，进行身份认证 - CustomAuthenticationProvider 类 authenticate 方法
● 盐城成功 - JWTLoginFilter 类 successfulAuthentication 方法
● 生成JWT - TokenAuthenticationService 类 addAuthentication方法

再测试一个访问资源的：
curl -H "Content-Type: application/json" -H "Authorization: Bearer eyJhbGciOiJIUzUxMiJ9.eyJhdXRob3JpdGllcyI6IlJPTEVfQURNSU4sQVVUSF9XUklURSIsInN1YiI6ImFkbWluIiwiZXhwIjoxNDkzNzgyMjQwfQ.HNfV1CU2CdAnBTH682C5-KOfr2P71xr9PYLaLpDVhOw8KWWSJ0lBo0BCq4LoNwsK_Y3-W3avgbJb0jW9FNYDRQ"http://127.0.0.1:8080/users

结果：

{
"result":["freewolf","tom","jerry"],
"message":"",
"status":0
}

说明我们的Token生效可以正常访问。其他的结果您可以自己去测试。再回到处理流程：
● 接到请求进行拦截 - JWTAuthenticationFilter 中的方法
● 验证JWT - TokenAuthenticationService 类 getAuthentication 方法
● 访问Controller
这样本文的主要流程就结束了，本文主要介绍了，如何用Spring Security结合JWT保护你的Spring Boot应用。如何使用Role和Authority，这里多说一句其实在Spring Security中，对于GrantedAuthority接口实现类来说是不区分是Role还是Authority，二者区别就是如果是hasAuthority判断，就是判断整个字符串，判断hasRole时，系统自动加上ROLE_到判断的Role字符串上，也就是说hasRole("CREATE")和hasAuthority('ROLE_CREATE')是相同的。利用这些可以搭建完整的RBAC体系。本文到此，你已经会用了本文介绍的知识点。

文章标签：
安全
Java
Spring
数据格式
JSON
游客p4omngj4p6cwq
目录
相关文章
游客p4omngj4p6cwq
|
26天前
|
负载均衡 Java Nacos
Gateway服务网关
网关是微服务的统一入口，实现请求路由、权限控制与限流。基于Spring Cloud Gateway可快速搭建高性能网关，支持断言与过滤器灵活配置，并解决跨域问题，提升系统安全性和可维护性。
游客p4omngj4p6cwq
103 0
游客p4omngj4p6cwq
|
26天前
|
JSON Java 数据格式
SpringBoot使用汇总
本课程系统讲解Spring Boot核心知识，涵盖环境搭建、JSON数据处理、日志记录、属性配置、MVC支持、异常处理等，结合实战案例与源码解析，助力开发者快速掌握微服务开发技能。
游客p4omngj4p6cwq
21 0
游客p4omngj4p6cwq
|
26天前
|
监控 算法 Unix
Thread.sleep(0) 到底有什么用(读完就懂)
Thread.Sleep(0)并非无用，它会触发操作系统立即重新进行CPU竞争，让其他线程获得执行机会，避免界面假死。而Sleep(1000)也不保证精确唤醒，因线程调度受优先级和系统负载影响。理解其原理有助于编写更高效的多线程程序。
游客p4omngj4p6cwq
30 0
游客p4omngj4p6cwq
|
26天前
|
存储 NoSQL Shell
Redis集群部署指南
本章为CentOS7下Redis集群实战教程，涵盖单机安装、主从复制、哨兵高可用及分片集群搭建。通过详细步骤实现多实例部署，掌握Redis集群架构与运维技能。
游客p4omngj4p6cwq
44 0
游客p4omngj4p6cwq
|
26天前
|
存储 缓存 算法
零拷贝
实现文件传输时，传统方式需频繁系统调用与内存拷贝，导致大量上下文切换和性能损耗。零拷贝技术通过减少用户态与内核态切换、避免重复数据拷贝，显著提升性能。结合PageCache可优化小文件读取，而大文件场景则宜用异步IO+直接IO，避免缓存污染，兼顾效率与并发。
游客p4omngj4p6cwq
43 0
游客p4omngj4p6cwq
|
26天前
|
消息中间件 存储 监控
Mac系统安装教程
RabbitMQ是基于AMQP协议的开源消息代理，支持异步通信、解耦服务，在分布式与微服务架构中广泛应用。具备高可靠、灵活路由、持久化、可扩展等特性，支持多种消息模式。可通过Homebrew或二进制方式安装，提供Web管理界面，便于操作与监控。（238字）
游客p4omngj4p6cwq
18 0
游客p4omngj4p6cwq
|
26天前
|
存储 缓存 NoSQL
分布式缓存Redis(高级)
本节深入讲解Redis持久化机制（RDB与AOF）、主从同步、哨兵集群及分片集群搭建，涵盖数据安全、高可用、读写分离与扩容方案，助力实现Redis在生产环境中的稳定落地。
游客p4omngj4p6cwq
50 0
游客p4omngj4p6cwq
|
26天前
|
关系型数据库 应用服务中间件 Nacos
Nacos配置中心
本章详解Nacos配置中心实战：实现微服务配置统一管理，支持热更新、配置共享与优先级控制，并搭建高可用集群，提升系统稳定性。
游客p4omngj4p6cwq
49 0
游客p4omngj4p6cwq
|
26天前
|
Java
类加载
Java中代码块执行顺序为：静态代码块 &gt; 局部代码块 &gt; 构造器。静态代码块随类加载执行，仅一次；局部代码块在方法内执行；构造代码块每次创建对象前调用，优先于构造方法执行，且先于main函数运行。
游客p4omngj4p6cwq
31 0
游客p4omngj4p6cwq
|
26天前
|
关系型数据库 MySQL Java
SpringCloud工程部署启动
本教程介绍SpringCloud微服务工程搭建与部署，涵盖完整项目导入或从零创建父/子模块，配置Maven依赖、数据库连接及业务代码。通过RestTemplate实现order-service调用user-service获取用户信息，演示微服务间远程通信原理，帮助理解服务拆分与调用关系，掌握基础分布式架构实践。
游客p4omngj4p6cwq
31 0

大数据与机器学习

热门文章

最新文章

  • 1
    DataV首次实战分享：教你30分钟创建汽车大屏
  • 2
    【玩转数据系列十】利用阿里云机器学习在深度学习框架下实现智能图片分类
  • 3
    odps是什么?
  • 4
    数据仓库介绍与实时数仓案例
  • 5
    DataV接入ECharts图表库 可视化利器强强联手
  • 6
    分布式快照算法: Chandy-Lamport
  • 7
    MaxCompute执行作业慢的原因排查
  • 8
    【玩转数据系列十五】机器学习PAI为你自动写歌词，妈妈再也不用担心我的freestyle了（提供数据、代码）
  • 9
    【玩转数据系列六】文本分析算法实现新闻自动分类
  • 10
    阿里云MaxCompute 2019-5月刊
  • 1
    量子机器学习：AI 的下一个维度，真不是玄学
    18
  • 2
    MLflow / Feast 实战手记：MLOps 不是装工具，是治内伤
    15
  • 3
    数据集不是“越多越好”：微调里最容易被误解的一件事
    23
  • 4
    智启未来：2026年，AI从“技术工具”到“共生文明”的跨代元年
    22
  • 5
    微调显存总爆炸？问题往往不在你以为的地方
    21
  • 6
    为什么你调的不是参数，而是风险
    26
  • 7
    1688宝贝详情数据接口实战—B 端视角下的竞品（供应商）数据拆解全指南
    30
  • 8
    告别“垃圾进垃圾出”：打造高质量数据集的完整指南
    52
  • 9
    大模型微调完全指南：原理、实践与平台选择，让AI真正为你所用
    40
  • 10
    量子芯片为什么这么难造？从“画电路”到“跑量子态”，中间全是坑
    34

    • 相关电子书

    更多
  • 低代码开发师（初级）实战教程
  • 冬季实战营第三期：MySQL数据库进阶实战
  • 阿里巴巴DevOps 最佳实践手册
    • 下一篇
    附部署代码｜云数据库RDS 全托管 Supabase服务：小白轻松搞定开发AI应用