SpringBoot+SpringSecurity+jwt實現(xiàn)驗證

更新時間：2022年07月28日 09:43:13 作者：南歸客_Kdream

本文主要介紹了SpringBoot+SpringSecurity+jwt實現(xiàn)驗證，文中通過示例代碼介紹的非常詳細，對大家的學習或者工作具有一定的參考學習價值，需要的朋友們下面隨著小編來一起學習學習吧

環(huán)境

springBoot 2.3.3
springSecurity 5.0
jjwt 0.91

pox.xml 文件主要信息

        <dependency>
            <groupId>io.jsonwebtoken</groupId>
            <artifactId>jjwt</artifactId>
            <version>0.9.1</version>
        </dependency>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-security</artifactId>
        </dependency>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-web</artifactId>
        </dependency>

目錄結構信息

請忽略文件命名

jwtAccessDeniedHandler 和 JwtAuthenticationEntryPoint

這兩個類的作用是用戶訪問沒有授權資源和攜帶錯誤token的錯誤返回處理信息類，要使用這兩個類只需要在security的配置文件中配置一下就可以只用了

/**
 * @author Bxsheng
 * @blogAddress www.kdream.cn
 * @createTIme 2020/9/17
 * since JDK 1.8
 * 當用戶在沒有授權的時候，返回的指定信息
 */
@Component
public class jwtAccessDeniedHandler implements AccessDeniedHandler {
    @Override
    public void handle(HttpServletRequest httpServletRequest, HttpServletResponse httpServletResponse, AccessDeniedException e) throws IOException, ServletException {
        System.out.println("用戶訪問沒有授權資源");
        System.out.println(e.getMessage());
        httpServletResponse.sendError(HttpServletResponse.SC_UNAUTHORIZED, e==null?"用戶訪問沒有授權資源":e.getMessage());

    }
}

/**
 * @author Bxsheng
 * @blogAddress www.kdream.cn
 * @createTIme 2020/9/17
 * since JDK 1.8
 */
@Component
public class JwtAuthenticationEntryPoint implements AuthenticationEntryPoint {
    @Override
    public void commence(HttpServletRequest httpServletRequest, HttpServletResponse httpServletResponse, AuthenticationException e) throws IOException, ServletException {
        System.out.println("用戶訪問資源沒有攜帶正確的token");
        System.out.println(e.getMessage());
        httpServletResponse.sendError(HttpServletResponse.SC_UNAUTHORIZED, e==null?"用戶訪問資源沒有攜帶正確的token":e.getMessage());

    }
}

UserDetailsServiceImpl 登錄信息驗證

該類直接繼承UserDetailsService 進行登錄信息驗證，在輸入賬戶密碼進行登錄的時候，會進入這個類進行驗證信息。

當然我這里是直接使用了寫死的密碼，正常應該從數(shù)據(jù)庫中獲取用戶的信息和權限信息

@Service
public class UserDetailsServiceImpl implements UserDetailsService {
    @Override
    public UserDetails loadUserByUsername(String s) throws UsernameNotFoundException {

        //直接寫死數(shù)據(jù)信息，可以在這里獲取數(shù)據(jù)庫的信息并進行驗證

        UserDetails userDetails  = User.withUsername(s).password(new BCryptPasswordEncoder().encode("123456"))
                .authorities("bxsheng").build();
        return userDetails;
    }
}

JwtTokenUtils jwt包裝類

該類直接使用 slyh 的 [SpringBoot+JWT實現(xiàn)登錄權限控制(代碼))](( http://m.fzitv.net/article/257119.htm)的文章里面的類。

package cn.kdream.securityjwt.utlis;

import io.jsonwebtoken.*;

import java.util.Date;
import java.util.HashMap;
import java.util.Map;

/**
 * @author Bxsheng
 * @blogAddress www.kdream.cn
 * @createTIme 2020/9/16
 * since JDK 1.8
 */
public class JwtTokenUtils {
    public static final String TOKEN_HEADER = "Authorization";
    public static final String TOKEN_PREFIX = "Bearer ";
    public static final String SECRET = "jwtsecret";
    public static final String ISS = "echisan";

    private static final Long EXPIRATION = 60 * 60 * 3L; //過期時間3小時

    private static final String ROLE = "role";

    //創(chuàng)建token
    public static String createToken(String username, String role, boolean isRememberMe){
        Map map = new HashMap();
        map.put(ROLE, role);
        return Jwts.builder()
                .signWith(SignatureAlgorithm.HS512, SECRET)
                .setClaims(map)
                .setIssuer(ISS)
                .setSubject(username)
                .setIssuedAt(new Date())
                .setExpiration(new Date(System.currentTimeMillis() + EXPIRATION * 1000))
                .compact();
    }

    //從token中獲取用戶名(此處的token是指去掉前綴之后的)
    public static String getUserName(String token){
        String username;
        try {
            username = getTokenBody(token).getSubject();
        } catch (    Exception e){
            username = null;
        }
        return username;
    }

    public static String getUserRole(String token){
        return (String) getTokenBody(token).get(ROLE);
    }

    private static Claims getTokenBody(String token){
        Claims claims = null;
        try{
            claims = Jwts.parser().setSigningKey(SECRET).parseClaimsJws(token).getBody();
        } catch(ExpiredJwtException e){
            e.printStackTrace();
        } catch(UnsupportedJwtException e){
            e.printStackTrace();
        } catch(MalformedJwtException e){
            e.printStackTrace();
        } catch(SignatureException e){
            e.printStackTrace();
        } catch(IllegalArgumentException e){
            e.printStackTrace();
        }
        return claims;
    }

    //是否已過期
    public static boolean isExpiration(String token){
        try{
            return getTokenBody(token).getExpiration().before(new Date());
        } catch(Exception e){
            System.out.println(e.getMessage());
        }
        return true;
    }
}

JwtAuthenticationFilter 自定義驗證jwt

該類直接使用 slyh 的 [SpringBoot+JWT實現(xiàn)登錄權限控制(代碼))](( http://m.fzitv.net/article/257119.htm))的文章里面的類。

這個類主要的作用是驗證jwt信息，主要攜帶了token請求過來，解析jwt并設置在security的上下文中。這樣做的其中一個目的是你獲得了token中攜帶的權限信息，并保存在上下文中。你就可以對用戶進行權限認證了

/**
 * @author Bxsheng
 * @blogAddress www.kdream.cn
 * @createTIme 2020/9/16
 * since JDK 1.8
 */
public class JwtAuthenticationFilter extends BasicAuthenticationFilter {

    public JwtAuthenticationFilter(AuthenticationManager authenticationManager) {
        super(authenticationManager);
    }

    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain chain) throws IOException, ServletException {
        String tokenHeader = request.getHeader(JwtTokenUtils.TOKEN_HEADER);
        //如果請求頭中沒有Authorization信息則直接放行了
        if(tokenHeader == null || !tokenHeader.startsWith(JwtTokenUtils.TOKEN_PREFIX)){
            chain.doFilter(request, response);
            return;
        }
        //如果請求頭中有token,則進行解析，并且設置認證信息
        if(!JwtTokenUtils.isExpiration(tokenHeader.replace(JwtTokenUtils.TOKEN_PREFIX,""))){
            //設置上下文
            UsernamePasswordAuthenticationToken authentication = getAuthentication(tokenHeader);
            SecurityContextHolder.getContext().setAuthentication(authentication);
        }
        super.doFilterInternal(request, response, chain);
    }

    //獲取用戶信息
    private UsernamePasswordAuthenticationToken getAuthentication(String tokenHeader){
        String token = tokenHeader.replace(JwtTokenUtils.TOKEN_PREFIX, "");
        String username = JwtTokenUtils.getUserName(token);
        // 獲得權限 添加到權限上去
        String role = JwtTokenUtils.getUserRole(token);
        List<GrantedAuthority> roles = new ArrayList<GrantedAuthority>();
        roles.add(new GrantedAuthority() {
            @Override
            public String getAuthority() {
                return role;
            }
        });
        if(username != null){
            return new UsernamePasswordAuthenticationToken(username, null,roles);
        }
        return null;
    }

}

security的配置信息

@EnableGlobalMethodSecurity(prePostEnabled = true) 開啟prePostEnabled注解方式授權

@Configuration
@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class SecurityJwtConfig extends WebSecurityConfigurerAdapter {


    @Autowired
    private jwtAccessDeniedHandler jwtAccessDeniedHandler;

    @Autowired
    private JwtAuthenticationEntryPoint jwtAuthenticationEntryPoint;

    @Override
    protected void configure(HttpSecurity http) throws Exception {
       http.cors().and().csrf().disable().authorizeRequests()
               .antMatchers(HttpMethod.OPTIONS,"/**")
               .permitAll()
               .antMatchers("/").permitAll()
               //login 不攔截
               .antMatchers("/login").permitAll()
               .anyRequest().authenticated()
               //授權
               .and()
               // 禁用session
               .sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS);
       // 使用自己定義的攔截機制，攔截jwt
        http.addFilterBefore(new JwtAuthenticationFilter(authenticationManager()), UsernamePasswordAuthenticationFilter.class)
        //授權錯誤信息處理
                .exceptionHandling()
                //用戶訪問資源沒有攜帶正確的token
                .authenticationEntryPoint(jwtAuthenticationEntryPoint)
                //用戶訪問沒有授權資源
                .accessDeniedHandler(jwtAccessDeniedHandler);
    }

    @Bean
    public PasswordEncoder passwordEncoder(){
        //使用的密碼比較方式
        return  new BCryptPasswordEncoder();
    }

}

啟動類

我在啟動類中配置了三個方法，一個是用來進行登錄信息的，另外兩個設置了需要權限訪問

@SpringBootApplication
@RestController
public class SecurityJwtApplication {

    private final AuthenticationManagerBuilder authenticationManagerBuilder;

    public SecurityJwtApplication(AuthenticationManagerBuilder authenticationManagerBuilder) {
        this.authenticationManagerBuilder = authenticationManagerBuilder;
    }

    public static void main(String[] args) {
        SpringApplication.run(SecurityJwtApplication.class, args);
    }



    @GetMapping("/")
    public String index(){
        return "security jwt";
    }

    @PostMapping("/login")
    public String login(@RequestParam String u,@RequestParam String p){
        // 登陸驗證
        UsernamePasswordAuthenticationToken token =
                new UsernamePasswordAuthenticationToken(u, p);
        Authentication authentication = authenticationManagerBuilder.getObject().authenticate(token);
        SecurityContextHolder.getContext().setAuthentication(authentication);
        //創(chuàng)建jwt信息
        String token1 = JwtTokenUtils.createToken(u,"bxsheng", true);
        return token1;
    }

    @GetMapping("/role")
    @PreAuthorize("hasAnyAuthority('bxsheng')")
    public String roleInfo(){
        return "需要獲得bxsheng權限，才可以訪問";
    }

    @GetMapping("/roles")
    @PreAuthorize("hasAnyAuthority('kdream')")
    public String rolekdream(){
        return "需要獲得kdream權限，才可以訪問";
    }
}

效果

直接訪問需要授權的用戶信息

直接沒有使用token直接訪問只要授權的資源信息，會進入JwtAuthenticationEntryPoint 類

獲取token

訪問在啟動類中的login方法，獲取token信息

因為我使用了固定的密碼，所以在使用錯誤的密碼訪問的時候，可以在springboot的全局異常處理中捕獲到異常信息

/**
 * @author Bxsheng
 * @blogAddress www.kdream.cn
 * @createTIme 2020/9/17
 * since JDK 1.8
 */
@RestControllerAdvice
public class Error {
    @ExceptionHandler(BadCredentialsException.class)
    public void badCredentialsException(BadCredentialsException e){
        System.out.println(e.getMessage());//用戶名或密碼錯誤

       // throw new  BadCredentialsException(e.getMessage());
    }
}

正確的獲取token，并進行受保護的資源訪問

里面有寫死的bxsheng權限信息，所以正常是可以獲取bxsheng標識的資源信息的。

成功獲取信息

嘗試獲取無權限資源信息

使用token直接訪問無權限資源信息，會進入jwtAccessDeniedHandler 類

至此應該可以說算完成簡單的權限管理了。

到此這篇關于SpringBoot+SpringSecurity+jwt實現(xiàn)驗證的文章就介紹到這了,更多相關SpringBoot SpringSecurity jwt 驗證內(nèi)容請搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關文章希望大家以后多多支持腳本之家！

您可能感興趣的文章:

詳解MyBatis模糊查詢LIKE的三種方式
模糊查詢也是數(shù)據(jù)庫SQL中使用頻率很高的SQL語句，這篇文章主要介紹了詳解MyBatis模糊查詢LIKE的三種方式，非常具有實用價值，需要的朋友可以參考下
2018-10-10
Spring?IOC?xml方式進行工廠Bean操作詳解
這篇文章主要介紹了Spring?IOC?xml方式進行工廠Bean操作，文中通過示例代碼介紹的非常詳細，對大家的學習或者工作具有一定的參考學習價值，需要的朋友們下面隨著小編來一起學習吧
2023-01-01
SpringBoot整合FastDFS中間件實現(xiàn)文件分布管理
FastDFS是一個開源的輕量級分布式文件系統(tǒng),它對文件進行管理,功能包括：文件存儲、文件同步、文件上傳、文件下載等,解決了大容量存儲和負載均衡的問題,本文介紹了SpringBoot整合FastDFS中間件實現(xiàn)文件分布管理,需要的朋友可以參考下
2024-08-08
java設計模式筆記之裝飾模式
這篇文章主要為大家詳細介紹了java設計模式筆記之裝飾模式，具有一定的參考價值，感興趣的小伙伴們可以參考一下
2019-04-04
SpringBoot實現(xiàn)JWT 認證的項目實踐
本文介紹了Spring Boot中實現(xiàn)JWT認證,并介紹了擴展JWT認證功能,文中通過示例代碼介紹的非常詳細,對大家的學習或者工作具有一定的參考學習價值,需要的朋友們下面隨著小編來一起學習學習吧
2025-08-08
關于Java內(nèi)存訪問重排序的研究
文章主要介紹了重排序現(xiàn)象及其在多線程編程中的影響,包括內(nèi)存可見性問題和Java內(nèi)存模型中對重排序的規(guī)則
2025-01-01
2021年最新Redis面試題匯總(3)
在程序員面試過程中redis相關的知識是常被問到的話題。這篇文章主要介紹了幾道Redis面試題，整理一下分享給大家，感興趣的小伙伴們可以參考一下
2021-07-07
利用Java實現(xiàn)讀寫bmp文件的示例代碼
位圖（Bitmap,BMP）是一種最原始、最簡單的圖像文件格式,由微軟和 IBM 在 1980 年代聯(lián)合制定,用于 Windows 操作系統(tǒng),本項目旨在用純 Java 從零實現(xiàn)一個輕量級的 BMP 文件讀寫庫,需要的朋友可以參考下
2025-05-05
Java語言中的文件數(shù)據(jù)流示例詳解
這篇文章主要為大家介紹了Java語言中的文件數(shù)據(jù)流示例詳解，有需要的朋友可以借鑒參考下，希望能夠有所幫助，祝大家多多進步，早日升職加薪
2022-11-11
java使用BeanUtils.copyProperties方法對象復制同名字段類型不同賦值為空問題解決方案
這篇文章主要給大家介紹了關于java使用BeanUtils.copyProperties方法對象復制同名字段類型不同賦值為空問題的解決方案,文中通過代碼介紹的非常詳細,對大家的學習或者工作具有一定的參考借鑒價值,需要的朋友可以參考下
2023-11-11