AI 助理
备案控制台
开发者社区 开发与运维 文章 正文

Spring Boot+Spring Security+JWT 实现 RESTful Api 权限控制

2018-07-04 4240
版权
版权声明：
本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《 阿里云开发者社区用户服务协议》和 《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写 侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
简介： 链接网址：https://www.jianshu.com/p/6307c89fe3fa/链接网址2：https://blog.csdn.net/linzhiqiang0316/article/details/78358907jwt介绍：        JWT是一种用于双方之间传递安全信息的简洁的、URL安全的表述性声明规范。

链接网址：https://www.jianshu.com/p/6307c89fe3fa/

链接网址2：https://blog.csdn.net/linzhiqiang0316/article/details/78358907

jwt介绍：

        JWT是一种用于双方之间传递安全信息的简洁的、URL安全的表述性声明规范。JWT作为一个开放的标准（ RFC 7519 ），定义了一种简洁的，自包含的方法用于通信双方之间以Json对象的形式安全的传递信息。

jwt认证流程介绍： 

1. 用户使用账号和面发出post请求； 
2. 服务器使用私钥创建一个jwt； 
3. 服务器返回这个jwt给浏览器； 
4. 浏览器将该jwt串在请求头中像服务器发送请求； 
5. 服务器验证该jwt； 
6. 返回响应的资源给浏览器。


一：开发一个简单的API

在IDEA开发工具中新建一个maven工程，添加对应的依赖如下：
  1. <dependency>
  2. <groupId>org.springframework.boot </groupId>
  3. <artifactId>spring-boot-starter </artifactId>
  4. </dependency>
  6. <dependency>
  7. <groupId>org.springframework.boot </groupId>
  8. <artifactId>spring-boot-starter-test </artifactId>
  9. <scope>test </scope>
  10. </dependency>
  12. <dependency>
  13. <groupId>org.springframework.boot </groupId>
  14. <artifactId>spring-boot-starter-web </artifactId>
  15. </dependency>
  18. <dependency>
  19. <groupId>org.springframework.boot </groupId>
  20. <artifactId>spring-boot-starter-data-jpa </artifactId>
  21. </dependency>
  24. <dependency>
  25. <groupId>mysql </groupId>
  26. <artifactId>mysql-connector-java </artifactId>
  27. <version>5.1.30 </version>
  28. </dependency>
  31. <dependency>
  32. <groupId>org.springframework.boot </groupId>
  33. <artifactId>spring-boot-starter-security </artifactId>
  34. </dependency>
  35. <dependency>
  36. <groupId>io.jsonwebtoken </groupId>
  37. <artifactId>jjwt </artifactId>
  38. <version>0.7.0 </version>
  39. </dependency>

新建一个UserController.java文件，在里面在中增加一个hello方法：

  1. @RequestMapping( "/hello")
  2. @ResponseBody
  3. public String hello(){
  4. return "hello";
  5. }

这样一个简单的RESTful API就开发好了。

现在我们运行一下程序看看效果，执行JwtauthApplication.java类中的main方法：

等待程序启动完成后，可以简单的通过curl工具进行API的调用，如下图：












至此，我们的接口就开发完成了。但是这个接口没有任何授权防护，任何人都可以访问，这样是不安全的，下面我们开始加入授权机制。

二：增加用户注册功能

首先增加一个实体类User.java：

  1. package boss.portal.entity;
  3. import javax.persistence.*;
  5. /**
  6. * @author zhaoxinguo on 2017/9/13.
  7. */
  8. @Entity
  9. @Table(name = "tb_user")
  10. public class User {
  12. @Id
  13. @GeneratedValue
  14. private long id;
  15. private String username;
  16. private String password;
  18. public long getId() {
  19. return id;
  20. }
  22. public String getUsername() {
  23. return username;
  24. }
  26. public void setUsername(String username) {
  27. this.username = username;
  28. }
  30. public String getPassword() {
  31. return password;
  32. }
  34. public void setPassword(String password) {
  35. this.password = password;
  36. }
  37. }

然后增加一个Repository类UserRepository，可以读取和保存用户信息：

  1. package boss.portal.repository;
  3. import boss.portal.entity.User;
  4. import org.springframework.data.jpa.repository.JpaRepository;
  6. /**
  7. * @author zhaoxinguo on 2017/9/13.
  8. */
  9. public interface UserRepository extends JpaRepository<User, Long> {
  11. User findByUsername(String username);
  13. }
在UserController类中增加注册方法，实现用户注册的接口：

  1. /**
  2. * 该方法是注册用户的方法，默认放开访问控制
  3. * @param user
  4. */
  5. @PostMapping( "/signup")
  6. public void signUp(@RequestBody User user) {
  7. user.setPassword(bCryptPasswordEncoder.encode(user.getPassword()));
  8. applicationUserRepository.save(user);
  9. }

其中的@PostMapping("/signup")

这个方法定义了用户注册接口，并且指定了url地址是/users/signup。由于类上加了注解 @RequestMapping(“/users”)，类中的所有方法的url地址都会有/users前缀，所以在方法上只需指定/signup子路径即可。

密码采用了BCryptPasswordEncoder进行加密，我们在Application中增加BCryptPasswordEncoder实例的定义。

  1. package boss.portal;
  3. import org.springframework.boot.SpringApplication;
  4. import org.springframework.boot.autoconfigure.SpringBootApplication;
  5. import org.springframework.context.annotation.Bean;
  6. import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
  8. @SpringBootApplication
  9. public class JwtauthApplication {
  11. @Bean
  12. public BCryptPasswordEncoder bCryptPasswordEncoder() {
  13. return new BCryptPasswordEncoder();
  14. }
  16. public static void main(String[] args) {
  17. SpringApplication.run(JwtauthApplication.class, args);
  18. }
  19. }

三：增加JWT认证功能

用户填入用户名密码后，与数据库里存储的用户信息进行比对，如果通过，则认证成功。传统的方法是在认证通过后，创建sesstion，并给客户端返回cookie。现在我们采用JWT来处理用户名密码的认证。区别在于，认证通过后，服务器生成一个token，将token返回给客户端，客户端以后的所有请求都需要在http头中指定该token。服务器接收的请求后，会对token的合法性进行验证。验证的内容包括：

  1. 内容是一个正确的JWT格式

  2. 检查签名

  3. 检查claims

  4. 检查权限

处理登录

创建一个类JWTLoginFilter，核心功能是在验证用户名密码正确后，生成一个token，并将token返回给客户端：

  1. package boss.portal.web.filter;
  3. import boss.portal.entity.User;
  4. import com.fasterxml.jackson.databind.ObjectMapper;
  5. import io.jsonwebtoken.Jwts;
  6. import io.jsonwebtoken.SignatureAlgorithm;
  7. import org.springframework.security.authentication.AuthenticationManager;
  8. import org.springframework.security.authentication.UsernamePasswordAuthenticationToken;
  9. import org.springframework.security.core.Authentication;
  10. import org.springframework.security.core.AuthenticationException;
  11. import org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter;
  13. import javax.servlet.FilterChain;
  14. import javax.servlet.ServletException;
  15. import javax.servlet.http.HttpServletRequest;
  16. import javax.servlet.http.HttpServletResponse;
  17. import java.io.IOException;
  18. import java.util.ArrayList;
  19. import java.util.Date;
  21. /**
  22. * 验证用户名密码正确后，生成一个token，并将token返回给客户端
  23. * 该类继承自UsernamePasswordAuthenticationFilter，重写了其中的2个方法
  24. * attemptAuthentication ：接收并解析用户凭证。
  25. * successfulAuthentication ：用户成功登录后，这个方法会被调用，我们在这个方法里生成token。
  26. * @author zhaoxinguo on 2017/9/12.
  27. */
  28. public class JWTLoginFilter extends UsernamePasswordAuthenticationFilter {
  30. private AuthenticationManager authenticationManager;
  32. public JWTLoginFilter(AuthenticationManager authenticationManager) {
  33. this.authenticationManager = authenticationManager;
  34. }
  36. // 接收并解析用户凭证
  37. @Override
  38. public Authentication attemptAuthentication(HttpServletRequest req,
  39. HttpServletResponse res) throws AuthenticationException {
  40. try {
  41. User user = new ObjectMapper()
  42. .readValue(req.getInputStream(), User.class);
  44. return authenticationManager.authenticate(
  45. new UsernamePasswordAuthenticationToken(
  46. user.getUsername(),
  47. user.getPassword(),
  48. new ArrayList<>())
  49. );
  50. } catch (IOException e) {
  51. throw new RuntimeException(e);
  52. }
  53. }
  55. // 用户成功登录后，这个方法会被调用，我们在这个方法里生成token
  56. @Override
  57. protected void successfulAuthentication(HttpServletRequest req,
  58. HttpServletResponse res,
  59. FilterChain chain,
  60. Authentication auth) throws IOException, ServletException {
  62. String token = Jwts.builder()
  63. .setSubject(((org.springframework.security.core.userdetails.User) auth.getPrincipal()).getUsername())
  64. .setExpiration( new Date(System.currentTimeMillis() + 60 * 60 * 24 * 1000))
  65. .signWith(SignatureAlgorithm.HS512, "MyJwtSecret")
  66. .compact();
  67. res.addHeader( "Authorization", "Bearer " + token);
  68. }
  70. }

该类继承自UsernamePasswordAuthenticationFilter，重写了其中的2个方法：

attemptAuthentication ：接收并解析用户凭证。

successfulAuthentication ：用户成功登录后，这个方法会被调用，我们在这个方法里生成token。

授权验证

用户一旦登录成功后，会拿到token，后续的请求都会带着这个token，服务端会验证token的合法性。

创建JWTAuthenticationFilter类，我们在这个类中实现token的校验功能。

  1. package boss.portal.web.filter;
  3. import io.jsonwebtoken.Jwts;
  4. import org.springframework.security.authentication.AuthenticationManager;
  5. import org.springframework.security.authentication.UsernamePasswordAuthenticationToken;
  6. import org.springframework.security.core.context.SecurityContextHolder;
  7. import org.springframework.security.web.authentication.www.BasicAuthenticationFilter;
  9. import javax.servlet.FilterChain;
  10. import javax.servlet.ServletException;
  11. import javax.servlet.http.HttpServletRequest;
  12. import javax.servlet.http.HttpServletResponse;
  13. import java.io.IOException;
  14. import java.util.ArrayList;
  16. /**
  17. * token的校验
  18. * 该类继承自BasicAuthenticationFilter，在doFilterInternal方法中，
  19. * 从http头的Authorization 项读取token数据，然后用Jwts包提供的方法校验token的合法性。
  20. * 如果校验通过，就认为这是一个取得授权的合法请求
  21. * @author zhaoxinguo on 2017/9/13.
  22. */
  23. public class JWTAuthenticationFilter extends BasicAuthenticationFilter {
  25. public JWTAuthenticationFilter(AuthenticationManager authenticationManager) {
  26. super(authenticationManager);
  27. }
  29. @Override
  30. protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain chain) throws IOException, ServletException {
  31. String header = request.getHeader( "Authorization");
  33. if (header == null || !header.startsWith( "Bearer ")) {
  34. chain.doFilter(request, response);
  35. return;
  36. }
  38. UsernamePasswordAuthenticationToken authentication = getAuthentication(request);
  40. SecurityContextHolder.getContext().setAuthentication(authentication);
  41. chain.doFilter(request, response);
  43. }
  45. private UsernamePasswordAuthenticationToken getAuthentication(HttpServletRequest request) {
  46. String token = request.getHeader( "Authorization");
  47. if (token != null) {
  48. // parse the token.
  49. String user = Jwts.parser()
  50. .setSigningKey( "MyJwtSecret")
  51. .parseClaimsJws(token.replace( "Bearer ", ""))
  52. .getBody()
  53. .getSubject();
  55. if (user != null) {
  56. return new UsernamePasswordAuthenticationToken(user, null, new ArrayList<>());
  57. }
  58. return null;
  59. }
  60. return null;
  61. }
  63. }

该类继承自BasicAuthenticationFilter，在doFilterInternal方法中，从http头的Authorization 项读取token数据，然后用Jwts包提供的方法校验token的合法性。如果校验通过，就认为这是一个取得授权的合法请求。

SpringSecurity配置

通过SpringSecurity的配置，将上面的方法组合在一起。

  1. package boss.portal.security;
  3. import boss.portal.web.filter.JWTLoginFilter;
  4. import boss.portal.web.filter.JWTAuthenticationFilter;
  5. import org.springframework.boot.autoconfigure.security.SecurityProperties;
  6. import org.springframework.context.annotation.Configuration;
  7. import org.springframework.core.annotation.Order;
  8. import org.springframework.http.HttpMethod;
  9. import org.springframework.security.config.annotation.authentication.builders.AuthenticationManagerBuilder;
  10. import org.springframework.security.config.annotation.web.builders.HttpSecurity;
  11. import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
  12. import org.springframework.security.core.userdetails.UserDetailsService;
  13. import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;
  15. /**
  16. * SpringSecurity的配置
  17. * 通过SpringSecurity的配置，将JWTLoginFilter，JWTAuthenticationFilter组合在一起
  18. * @author zhaoxinguo on 2017/9/13.
  19. */
  20. @Configuration
  21. @Order(SecurityProperties.ACCESS_OVERRIDE_ORDER)
  22. public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
  24. private UserDetailsService userDetailsService;
  26. private BCryptPasswordEncoder bCryptPasswordEncoder;
  28. public WebSecurityConfig(UserDetailsService userDetailsService, BCryptPasswordEncoder bCryptPasswordEncoder) {
  29. this.userDetailsService = userDetailsService;
  30. this.bCryptPasswordEncoder = bCryptPasswordEncoder;
  31. }
  33. @Override
  34. protected void configure(HttpSecurity http) throws Exception {
  35. http.cors().and().csrf().disable().authorizeRequests()
  36. .antMatchers(HttpMethod.POST, "/users/signup").permitAll()
  37. .anyRequest().authenticated()
  38. .and()
  39. .addFilter( new JWTLoginFilter(authenticationManager()))
  40. .addFilter( new JWTAuthenticationFilter(authenticationManager()));
  41. }
  43. @Override
  44. public void configure(AuthenticationManagerBuilder auth) throws Exception {
  45. auth.userDetailsService(userDetailsService).passwordEncoder(bCryptPasswordEncoder);
  46. }
  48. }

这是标准的SpringSecurity配置内容，就不在详细说明。注意其中的


.addFilter(new JWTLoginFilter(authenticationManager())) 
.addFilter(new JwtAuthenticationFilter(authenticationManager())) 

这两行，将我们定义的JWT方法加入SpringSecurity的处理流程中。

下面对我们的程序进行简单的验证：

# 请求hello接口，会收到403错误，如下图：

curl http://localhost:8080/hello


# 注册一个新用户curl -H"Content-Type: application/json" -X POST -d '{ "username":"admin","password":"password"}' http://localhost:8080/users/signup

如下图：


# 登录，会返回token，在http header中，Authorization: Bearer 后面的部分就是tokencurl -i -H"Content-Type: application/json"-X POST -d '{ "username":"admin","password":"password"}' http://localhost:8080/login

如下图：



# 用登录成功后拿到的token再次请求hello接口# 将请求中的XXXXXX替换成拿到的token# 这次可以成功调用接口了curl -H"Content-Type: application/json" \-H"Authorization: Bearer XXXXXX" \"http://localhost:8080/users/hello"

如下图：

五：总结

至此，给SpringBoot的接口加上JWT认证的功能就实现了，过程并不复杂，主要是开发两个SpringSecurity的filter，来生成和校验JWT token。

JWT作为一个无状态的授权校验技术，非常适合于分布式系统架构，因为服务端不需要保存用户状态，因此就无需采用redis等技术，在各个服务节点之间共享session数据。


六：源码下载地址：

地址：

七：建议及改进：
若您有任何建议，可以通过1）加入qq群715224124向群主提出，或2）发送邮件至827358369@qq.com向我反馈。本人承诺，任何建议都将会被认真考虑，优秀的建议将会被采用，但不保证一定会在当前版本中实现。


八：鸣谢地址：

http://blog.csdn.net/haiyan_qi/article/details/77373900

https://segmentfault.com/a/1190000009231329

http://www.jianshu.com/p/6307c89fe3fa

http://www.cnblogs.com/grissom007/p/6294746.html

版权声明：本文为博主原创文章，转载请加上原文链接，谢谢！ https://blog.csdn.net/sxdtzhaoxinguo/article/details/77965226
文章标签：
API
Spring
数据安全/隐私保护
Java
NoSQL
Redis
Maven
安全
数据格式
JSON
关键词：
API spring
Restful API
jwt spring
jwt security
Spring Security
尘光掠影
目录
相关文章
一位隐者
|
17天前
|
JSON 安全 Java
什么是JWT？如何使用Spring Boot Security实现它？
什么是JWT？如何使用Spring Boot Security实现它？
一位隐者
68 5
喜欢猪猪
|
1月前
|
监控 Java 应用服务中间件
高级java面试---spring.factories文件的解析源码API机制
【11月更文挑战第20天】Spring Boot是一个用于快速构建基于Spring框架的应用程序的开源框架。它通过自动配置、起步依赖和内嵌服务器等特性，极大地简化了Spring应用的开发和部署过程。本文将深入探讨Spring Boot的背景历史、业务场景、功能点以及底层原理，并通过Java代码手写模拟Spring Boot的启动过程，特别是spring.factories文件的解析源码API机制。
喜欢猪猪
69 2
龙大吉
|
2月前
|
Java API 数据库
构建RESTful API已经成为现代Web开发的标准做法之一。Spring Boot框架因其简洁的配置、快速的启动特性及丰富的功能集而备受开发者青睐。
【10月更文挑战第11天】本文介绍如何使用Spring Boot构建在线图书管理系统的RESTful API。通过创建Spring Boot项目，定义`Book`实体类、`BookRepository`接口和`BookService`服务类，最后实现`BookController`控制器来处理HTTP请求，展示了从基础环境搭建到API测试的完整过程。
龙大吉
58 4
潇洒洒
|
2月前
|
IDE Java API
基于Spring Boot REST API设计指南
【10月更文挑战第4天】 在现代的软件开发中，RESTful API已经成为了构建网络应用的标准之一。它通过HTTP协议提供了与资源交互的方式，使得不同的应用程序能够进行数据交互。Spring Boot作为一个功能强大的框架，它简化了配置和开发流程，成为了构建RESTful API的理想选择。本文将详细介绍如何在Spring Boot中设计和实现高质量的RESTful API，并提供一些最佳实践。
潇洒洒
55 1
最好zzz
|
2月前
|
缓存 Java API
基于Spring Boot REST API设计指南
【10月更文挑战第11天】 在构建现代Web应用程序时，RESTful API已成为一种标准，使得不同的应用程序能够通过HTTP协议进行通信，实现资源的创建、读取、更新和删除等操作。Spring Boot作为一个功能强大的框架，能够轻松创建RESTful API。本文将详细介绍如何在Spring Boot中设计和实现高质量的RESTful API。
最好zzz
136 61
wljslmz
|
21天前
|
Java 测试技术 API
详解Swagger：Spring Boot中的API文档生成与测试工具
详解Swagger：Spring Boot中的API文档生成与测试工具
wljslmz
32 4
蓝易云
|
1月前
|
存储 运维 安全
Spring运维之boot项目多环境(yaml 多文件 proerties)及分组管理与开发控制
通过以上措施，可以保证Spring Boot项目的配置管理在专业水准上，并且易于维护和管理，符合搜索引擎收录标准。
蓝易云
41 2
喜欢猪猪
|
24天前
|
人工智能 Java API
Spring AI Fluent API：与AI模型通信的流畅体验
【11月更文挑战第24天】随着人工智能（AI）技术的飞速发展，越来越多的应用场景开始融入AI技术以提升用户体验和系统效率。在Java开发中，与AI模型通信成为了一个重要而常见的需求。为了满足这一需求，Spring AI引入了ChatClient，一个提供流畅API（Fluent API）的客户端，用于与各种AI模型进行通信。本文将深入探讨ChatClient的底层原理、业务场景、概念、功能点，并通过Java代码示例展示如何使用Fluent API与AI模型进行通信。
喜欢猪猪
34 0
最好zzz
|
2月前
|
安全 Java API
基于Spring Boot REST API设计指南
【10月更文挑战第10天】 在现代Web应用开发中，RESTful API扮演着至关重要的角色。Spring Boot作为一个高效、便捷的Java开发框架，为构建RESTful API提供了强大的支持。本文将分享基于Spring Boot的REST API设计指南，涵盖从项目初始化到API文档配置的全过程。
最好zzz
59 0
二哥聊RPA
|
Java API 数据库
Springboot 实现 Restful 服务，基于 HTTP / JSON 传输
二哥聊RPA
19252 0

热门文章

最新文章

  • 1
    RESTful API 文档生成神器 Wisdom REST Client
  • 2
    Spring Boot 2.x基础教程：构建RESTful API与单元测试
  • 3
    RESTful再理解
  • 4
    SpringBoot入门到精通（二十一）如何优雅的设计 RESTful API 接口版本号，实现 API 版本控制！
  • 5
    （有数据库,rest soap 共存）restful cxf maven jdbctemplate 类似七牛 图床 设计 demo
  • 6
    SOA中springmvc中restful服务的数据权限加密方式分享
  • 7
    RESTful API 设计指南
  • 8
    RESTful WebService入门
  • 9
    restful 规范
  • 10
    ModelAndView使用方法-一个关于校验码生成的bbossmvc restful示例1
  • 1
    Gmail邮箱API发送邮件的方法有什么
    320
  • 2
    实战篇：商品API接口在跨平台销售中的有效运用与案例解析
    199
  • 3
    Composition Api 与 Options Api 有什么区别？
    138
  • 4
    如何获取拼多多搜索词推荐 API 返回值说明
    62
  • 5
    谈谈你对RESTful API设计的理解和实践。
    68
  • 6
    阿里云DNS常见问题之DNS中alidns的api调用失败如何解决
    330
  • 7
    淘宝商品评论API：连接消费者与商家的桥梁
    51
  • 8
    【C/C++ 数据库 sqlite3】SQLite C语言API返回值深入解析
    298
  • 9
    【Linux系统编程】一文了解 Linux目录的创建和删除API 创建、删除与读取
    81
  • 10
    淘宝/天猫获得淘宝商品详情 API 返回值说明
    115

    • 相关课程

    更多
  • 全面讲解Spring Cloud Alibaba技术栈（知识精讲+项目实战）第一阶段
  • 精通Spring Cloud Alibaba
  • 微服务框架 Spring Cloud 快速入门
  • Java Web开发系列课程 - Spring框架入门
  • Spring Boot 2.5.x开发实战
  • Spring Cloud微服务架构设计与开发实战

    • 相关电子书

    更多
  • 云栖社区特邀专家徐雷Java Spring Boot开发实战系列课程（第20讲）：经典面试题与阿里等名企内部招聘求职面试技巧
  • 微服务架构模式与原理Spring Cloud开发实战
  • 阿里特邀专家徐雷Java Spring Boot开发实战系列课程（第18讲）：制作Java Docker镜像与推送到DockerHub和阿里云Docker仓库

    • 相关实验场景

    更多
  • 基于Assistant Api的旅游助手
  • 快速体验智能体API应用
  • 从零搭建Spring Boot的Hello World
    • 下一篇
    fs.oss.accessKeyId和fs.oss.accessKeySecret。