springboot中通過jwt令牌校驗及前端token請求頭進行登錄攔截實戰(zhàn)記錄
更新時間：2024年08月02日 09:12:02 作者：自律的kkk
這篇文章主要給大家介紹了關于springboot中如何通過jwt令牌校驗及前端token請求頭進行登錄攔截的相關資料,需要的朋友可以參考下
前言
大家從b站大學學習的項目側(cè)重點好像都在基礎功能的實現(xiàn)上，反而一個項目最根本的登錄攔截請求接口都不會寫，怎么攔截？為什么攔截？只知道用戶登錄時我后端會返回一個token，這個token是怎么生成的，我把它返回給前端干什么用？前端怎么去處理這個token？這個是我在學習過程中一知半解的，等開始做自己的項目時才知道原來還有這么多不會，本文就來講解一下怎么去實現(xiàn)登錄攔截請求校驗的方法。
一、導入數(shù)據(jù)庫表依賴
這里有一張常用的用戶表作為本文的實戰(zhàn)測試
CREATE TABLE `user` ( `id` int(11) NOT NULL AUTO_INCREMENT, `username` varchar(50) NOT NULL COMMENT '用戶名', `password` varchar(255) NOT NULL COMMENT '密碼', `email` varchar(100) DEFAULT NULL COMMENT '郵箱', `create_time` datetime DEFAULT NULL COMMENT '創(chuàng)建時間', `login_time` datetime DEFAULT NULL COMMENT '最后一次登錄時間', `avatar` varchar(255) DEFAULT NULL COMMENT '頭像', PRIMARY KEY (`id`), UNIQUE KEY `username` (`username`) USING BTREE, UNIQUE KEY `email` (`email`) USING BTREE ) ENGINE=InnoDB AUTO_INCREMENT=33 DEFAULT CHARSET=utf8mb4 COMMENT='用戶表';
運行然后連接。
二、登陸接口實現(xiàn)
@Api(tags = "用戶相關接口")
@RestController
@RequestMapping("/user")
public class UserController {
@Autowired
private UserService userService;
@Autowired
private JwtProperties jwtProperties;
@ApiOperation("用戶登錄")
@PostMapping("/login")
public Result login(@RequestBody User user) {
user = userService.login(user);
//登錄成功后，生成jwt令牌
Map<String, Object> claims = new HashMap<>();
claims.put("userId", user.getId());
String token = JwtUtil.createJWT(
jwtProperties.getUserSecretKey(),
jwtProperties.getUserTtl(),
claims);
UserLoginVo userLoginVo = UserLoginVo.builder()
.user(user)
.token(token)
.build();
return Result.okResult(userLoginVo);
}
@ApiOperation("注冊用戶")
@PostMapping
public Result addUser(@RequestBody UserDto userDto) {
userService.addUser(userDto);
return Result.okResult();
}
@ApiOperation("更新用戶信息")
@PostMapping("/update")
public Result uploadAvatar(User user) {
userService.uploadAvatar(user);
return Result.okResult();
}
@GetMapping("/test")
public Result test() {
return Result.okResult("test");
}
}
寫了幾個常用的用戶層接口用來測試，主要關注用戶登錄/login接口，其他的暫時無需理會。
配置JwtProperties 類
@Component
@ConfigurationProperties(prefix = "zwk.jwt")
@Data
public class JwtProperties {
/**
* 用戶生成jwt令牌相關配置
*/
private String userSecretKey;
private long userTtl;
private String userTokenName;
}
JwtProperties 對應的配置文件
zwk:
jwt:
# 設置jwt簽名加密時使用的秘鑰
user-secret-key: zwkzwk
# 設置jwt過期時間
user-ttl: 7200000
# 設置前端傳遞過來的令牌名稱
user-token-name: token
配置UserService 類
public interface UserService {
void addUser(UserDto userDto);
User login(User user);
void uploadAvatar(User user);
}
UserService 的實現(xiàn)類
@Service
public class UserServiceImpl implements UserService {
@Autowired
private UserMapper userMapper;
/**
* 新增用戶
* @param userDto
*/
public void addUser(UserDto userDto) {
User user = new User();
BeanUtils.copyProperties(userDto, user);
//user.setEmail("123@qq.com");
user.setCreateTime(new Date());
user.setLoginTime(new Date());
userMapper.insert(user);
}
public User login(User user) {
String password = user.getPassword();
final User user1 = userMapper.getUserByName(user.getUsername());
if (user1 == null) {
throw new RuntimeException("該用戶名不存在");
}
//對密碼進行md5加密
//password = DigestUtils.md5DigestAsHex(password.getBytes());
if (!password.equals(user1.getPassword())){
throw new RuntimeException("密碼錯誤");
}
return user1;
}
/**
* 更新用戶信息
* @param user
* @return
*/
@Override
public void uploadAvatar(User user) {
userMapper.updateById(user);
}
}
這里主要是對用戶登錄時傳過來的用戶名和密碼進行校驗，校驗通過后我們再重新回到控制層看看是怎么處理的。
@ApiOperation("用戶登錄")
@PostMapping("/login")
public Result login(@RequestBody User user) {
user = userService.login(user);
//登錄成功后，生成jwt令牌
Map<String, Object> claims = new HashMap<>();
claims.put("userId", user.getId());
String token = JwtUtil.createJWT(
jwtProperties.getUserSecretKey(),
jwtProperties.getUserTtl(),
claims);
UserLoginVo userLoginVo = UserLoginVo.builder()
.user(user)
.token(token)
.build();
return Result.okResult(userLoginVo);
}
- 如果登錄成功，代碼將生成一個 JWT（JSON Web Token）令牌。JWT 是一種緊湊的、自包含的方式，用于在客戶端和服務器之間傳遞安全信息。在這個例子中，JWT 令牌包含了用戶的 ID 信息。
- claims 是一個 Map，用于存儲 JWT 中的聲明（Claims），這里存儲了用戶 ID。
- JwtUtil.createJWT 方法用于創(chuàng)建 JWT 令牌，它接收三個參數(shù)：用戶的密鑰（jwtProperties.getUserSecretKey()）、令牌的有效時間（jwtProperties.getUserTtl()）和聲明信息（claims）。
導入User類
@Data
@AllArgsConstructor
@NoArgsConstructor
public class User implements Serializable {
private static final long serialVersionUID = 1L;
/**
* 主鍵
*/
@TableId
private Long id;
/**
* 用戶名
*/
private String username;
private String password;
private String email;
@JsonFormat(pattern = "yyyy-MM-dd HH:mm:ss", timezone = "GMT+8")
private Date createTime;
@JsonFormat(pattern = "yyyy-MM-dd HH:mm:ss", timezone = "GMT+8")
private Date LoginTime;
/**
* 頭像
*/
private String avatar;
}
導入UserLoginVo類
@Data
@NoArgsConstructor
@AllArgsConstructor
@Builder
public class UserLoginVo {
private String token;
private User user;
}
編寫JwtUtil工具類，該類用來生成jwt令牌
public class JwtUtil {
/**
* 生成jwt
* 使用Hs256算法, 私匙使用固定秘鑰
*
* @param secretKey jwt秘鑰
* @param ttlMillis jwt過期時間(毫秒)
* @param claims 設置的信息
* @return
*/
public static String createJWT(String secretKey, long ttlMillis, Map<String, Object> claims) {
// 指定簽名的時候使用的簽名算法，也就是header那部分
SignatureAlgorithm signatureAlgorithm = SignatureAlgorithm.HS256;
// 生成JWT的時間
long expMillis = System.currentTimeMillis() + ttlMillis;
Date exp = new Date(expMillis);
// 設置jwt的body
JwtBuilder builder = Jwts.builder()
// 如果有私有聲明，一定要先設置這個自己創(chuàng)建的私有的聲明，這個是給builder的claim賦值，一旦寫在標準的聲明賦值之后，就是覆蓋了那些標準的聲明的
.setClaims(claims)
// 設置簽名使用的簽名算法和簽名使用的秘鑰
.signWith(signatureAlgorithm, secretKey.getBytes(StandardCharsets.UTF_8))
// 設置過期時間
.setExpiration(exp);
return builder.compact();
}
/**
* Token解密
*
* @param secretKey jwt秘鑰 此秘鑰一定要保留好在服務端, 不能暴露出去, 否則sign就可以被偽造, 如果對接多個客戶端建議改造成多個
* @param token 加密后的token
* @return
*/
public static Claims parseJWT(String secretKey, String token) {
// 得到DefaultJwtParser
Claims claims = Jwts.parser()
// 設置簽名的秘鑰
.setSigningKey(secretKey.getBytes(StandardCharsets.UTF_8))
// 設置需要解析的jwt
.parseClaimsJws(token).getBody();
return claims;
}
}
以上就是我們前期準備工作，然后發(fā)現(xiàn)好像還是沒用，因為我們還沒有做自定義攔截處理。我們首先對除了/user/login接口進行放行，其他接口全部攔截。
編寫JwtTokenAdminInterceptor 類重寫HandlerInterceptor方法
@Component
@Slf4j
public class JwtTokenAdminInterceptor implements HandlerInterceptor {
@Autowired
private JwtProperties jwtProperties;
/**
* 校驗jwt
*
* @param request
* @param response
* @param handler
* @return
* @throws Exception
*/
public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
//判斷當前攔截到的是Controller的方法還是其他資源
if (!(handler instanceof HandlerMethod)) {
//當前攔截到的不是動態(tài)方法，直接放行
return true;
}
//1、從請求頭中獲取令牌
String token = request.getHeader(jwtProperties.getUserTokenName());
//2、校驗令牌
try {
log.info("jwt校驗:{}", token);
Claims claims = JwtUtil.parseJWT(jwtProperties.getUserSecretKey(), token);
Long userId = Long.valueOf(claims.get("userId").toString());
log.info("當前用戶id：{}", userId);
//3、通過，放行
return true;
} catch (Exception ex) {
//4、不通過，響應401狀態(tài)碼
response.setStatus(401);
return false;
}
}
}
自定義攔截器WebMvcConfiguration
@Configuration
@Slf4j
public class WebMvcConfiguration extends WebMvcConfigurationSupport {
@Autowired
private JwtTokenAdminInterceptor jwtTokenAdminInterceptor;
/**
* 注冊自定義攔截器
* @param registry
*/
protected void addInterceptors(InterceptorRegistry registry) {
log.info("開始注冊自定義攔截器...");
registry.addInterceptor(jwtTokenAdminInterceptor)
.addPathPatterns("/user/**") //表示攔截所以前綴帶/user的請求
.excludePathPatterns("/user/login"); //排除特定路徑：excludePathPatterns("/user/login") 方法用于排除某些路徑，
//即使它們匹配前面指定的模式。在這個例子中，/user/login 路徑不會被 jwtTokenAdminInterceptor 攔截。
}
/**
* 設置靜態(tài)資源映射
* @param registry
*/
protected void addResourceHandlers(ResourceHandlerRegistry registry) {
registry.addResourceHandler("/doc.html").addResourceLocations("classpath:/META-INF/resources/");
registry.addResourceHandler("/webjars/**").addResourceLocations("classpath:/META-INF/resources/webjars/");
}
}
三、然后對接口進行登錄測試
登錄測試
{
"code": 200,
"msg": "操作成功",
"data": {
"token": "eyJhbGciOiJIUzI1NiJ9.eyJleHAiOjE3MjA2MDI3NzIsInVzZXJJZCI6MX0.Cf1ew-rPOkRYup5tird7nVD9xiHblNhYHwtdFHGQqV0",
"user": {
"id": 1,
"username": "kkk",
"password": "kkk123",
"email": "2765314967@qq.com",
"createTime": "2024-07-10 10:44:36",
"LoginTime": "2024-07-10 10:44:42",
"avatar": null,
"loginTime": "2024-07-10 10:44:42"
}
}
}
可以看見，登錄成功后我們成功向前端返回token令牌。
那么前端拿到了這個token令牌有什么用呢？
- 第一次登錄的時候，前端調(diào)用后端的登錄接口，發(fā)送用戶名和密碼
- 后端收到請求，驗證用戶名和密碼，驗證成功，就給前端返回一個token
- 前端拿到token，將token存儲到localStorage和vuex中，并跳轉(zhuǎn)路由頁面
- 前端每次跳轉(zhuǎn)路由，就判斷l(xiāng)ocalStorage中有無token，沒有就跳轉(zhuǎn)到登錄頁面，有則跳轉(zhuǎn)到對應的路由頁面
- 每次調(diào)后端接口，都要在請求頭中加token
- 后端判斷請求頭中有無token，有token，就拿到token并驗證token，驗證成功就返回數(shù)據(jù)，驗證失敗（例如：token過期）就返回403，請求頭中沒有token也返回403
- 如果前端拿到狀態(tài)碼為403，就清除token信息并跳轉(zhuǎn)到登錄頁面
這個時候我們再來測試其他接口，應為我們剛剛只放行了/user/login接口，其他接口是一律攔截的，我們看看直接請求會發(fā)生什么。
可以發(fā)現(xiàn)，當我們請求這個測試接口時，返回狀態(tài)碼401，和我們預想的一樣，如圖，就是我們剛剛寫的JwtTokenAdminInterceptor類
然后發(fā)現(xiàn)控制臺的jwt為空，這就應對了我們前面所說的，當我們將token返回給前端之后，前端之后的每次請求都會把token攜帶到到請求頭header里面?zhèn)鹘o后端，我們后端就可以通過HttpServletRequest獲取請求頭token，如圖：
然后根據(jù)我們后端自定義的攔截器看看是否需要對這個請求頭進行判斷，如果不需要判斷，直接放放行，否則進行jwt校驗。
那我們再次回到剛剛/user/test接口，我們剛剛也是由前端對該接口進行請求，但這個時候前端請求頭里面的token為空，我們后端又對這個接口進行了攔截，所以校驗自然失敗，無法訪問，這個時候我們再把登錄時生成的token放在前端傳給侯丹的請求頭里，看看會發(fā)生什么.
可以看到，這個時候就能成功請求。再看看控制臺
可以發(fā)現(xiàn)，后端拿到前端傳過來的token后校驗通過，并且還可以通過token獲取用戶id，我們再回過頭看看最開始的問題，這個token有什么用，這個通過token獲取用戶id就是最明顯的體現(xiàn)之一。
我們只需要通過
Claims claims = JwtUtil.parseJWT(jwtProperties.getUserSecretKey(), token);
Long userId = Long.valueOf(claims.get("userId").toString());
我講的也不是很清楚，建議大家細看JwtTokenAdminInterceptor和 WebMvcConfiguration這兩個類，方可大成。
總結(jié)
到此這篇關于springboot中通過jwt令牌校驗及前端token請求頭進行登錄攔截實戰(zhàn)的文章就介紹到這了,更多相關springboot登錄攔截內(nèi)容請搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關文章希望大家以后多多支持腳本之家！
相關文章
IntelliJIDEA中實現(xiàn)SpringBoot多實例運行的兩種方式
在微服務開發(fā)中,經(jīng)常需要同時啟動多個服務實例進行測試或模擬集群環(huán)境,?IntelliJ?IDEA?作為Java開發(fā)者常用工具,提供了靈活的多實例啟動支持,本文將詳細介紹如何通過修改配置?和批量啟動?兩種方式實現(xiàn)SpringBoot多實例運行,并解決常見問題,需要的朋友可以參考下2025-03-03
今天給大家?guī)硪粋€IDEA中Maven設置的小技巧.這個技巧可以說非常有用,學會設置之后,再也不用擔心maven依賴下載變慢的問題,需要的朋友可以參考下2021-05-05
java使用Hex編碼解碼實現(xiàn)Aes加密解密功能示例
這篇文章主要介紹了java使用Hex編碼解碼實現(xiàn)Aes加密解密功能,結(jié)合完整實例形式分析了Aes加密解密功能的定義與使用方法,需要的朋友可以參考下2017-01-01
SpringBoot使用Validator進行參數(shù)校驗實戰(zhàn)教程(自定義校驗，分組校驗)
這篇文章主要介紹了SpringBoot使用Validator進行參數(shù)校驗（自定義校驗，分組校驗）的實戰(zhàn)教程，本文通過示例代碼給大家介紹的非常詳細，需要的朋友參考下吧2023-07-07
JavaWeb中struts2實現(xiàn)文件上傳下載功能實例解析
這篇文章主要介紹了JavaWeb中struts2文件上傳下載功能的實現(xiàn)，在Web應用系統(tǒng)開發(fā)中，文件上傳和下載功能是非常常用的功能,需要的朋友可以參考下2016-05-05
這篇文章主要介紹了分享Java死鎖的4種排查工具，死鎖指的是兩個或兩個以上的運算單元，都在等待對方停止執(zhí)行，以取得系統(tǒng)資源，但是沒有一方提前退出，就稱為死鎖，下文更多相關內(nèi)容需要的小伙伴可以參考一下2022-05-05
這篇文章主要為大家詳細介紹了java實現(xiàn)畫圖板功能，文中示例代碼介紹的非常詳細，具有一定的參考價值，感興趣的小伙伴們可以參考一下2020-09-09
SpringBoot運行時修改定時任務Cron表達式的實現(xiàn)方案
在項目開發(fā)中,定時任務是一個常見的需求,SpringBoot通過@Scheduled注解提供了簡便的定時任務實現(xiàn)方式,但默認情況下,一旦應用啟動,定時任務的Cron表達式就無法動態(tài)調(diào)整,本文將介紹如何在SpringBoot應用運行期間動態(tài)修改定時任務的Cron表達式,需要的朋友可以參考下2025-06-06
SpringBoot中Jackson ObjectMapper應用及說明
SpringBoot支持支持Jackson作為默認的JSON映射庫,提供便捷的對象與JSON轉(zhuǎn)換功能,文章詳細介紹了ObjectMapper的配置與使用,以及SpringBoot中Jackson的多種自定義配置方法2026-05-05
IDEA在SpringBoot項目使用Maven打包后jar包太小問題及解決
這篇文章主要介紹了IDEA在SpringBoot項目使用Maven打包后jar包太小問題及解決,具有很好的參考價值,希望對大家有所幫助,如有錯誤或未考慮完全的地方,望不吝賜教2024-04-04