Java實現(xiàn)JWT 雙簽發(fā)認證+RBAC權限的示例代碼

更新時間：2025年08月24日 10:59:59 作者：hqxstudying

本文主要介紹了Java實現(xiàn)JWT 雙簽發(fā)認證+RBAC權限的示例代碼,文中通過示例代碼介紹的非常詳細,對大家的學習或者工作具有一定的參考學習價值,需要的朋友們下面隨著小編來一起學習學習吧

1. JWT 雙簽發(fā)認證基礎概念

JWT（JSON Web Token）是一種用于在網(wǎng)絡應用間傳遞聲明的安全標準。雙簽發(fā)認證指的是同時簽發(fā)訪問令牌（Access Token）和刷新令牌（Refresh Token）：

Access Token：包含用戶身份和權限信息，有效期較短（如 15 分鐘）
Refresh Token：僅包含用戶身份信息，有效期較長（如 7 天）
當 Access Token 過期時，使用 Refresh Token 重新獲取新的 Access Token

2. RBAC 權限模型基礎概念

RBAC（基于角色的訪問控制）是一種權限管理模型，核心組件包括：

用戶（User）：系統(tǒng)的使用者
角色（Role）：一組權限的集合（如管理員、用戶、訪客）
權限（Permission）：對資源的操作許可（如創(chuàng)建文章、刪除用戶）
用戶 - 角色關聯(lián)：一個用戶可以擁有多個角色
角色 - 權限關聯(lián)：一個角色可以包含多個權限

3. Java 項目中實現(xiàn) JWT 雙簽發(fā)認證

以下是一個簡單的 Java 實現(xiàn)示例，使用 Spring Security 和 JJWT 庫：

import io.jsonwebtoken.Claims;
import io.jsonwebtoken.Jwts;
import io.jsonwebtoken.SignatureAlgorithm;
import org.springframework.stereotype.Component;
 
import java.util.Date;
import java.util.HashMap;
import java.util.Map;
import java.util.function.Function;
 
@Component
public class JwtUtil {
    private static final String SECRET_KEY = "your-secret-key";
    private static final long ACCESS_TOKEN_VALIDITY = 15 * 60 * 1000; // 15分鐘
    private static final long REFRESH_TOKEN_VALIDITY = 7 * 24 * 60 * 60 * 1000; // 7天
 
    // 生成訪問令牌
    public String generateAccessToken(String username, String roles) {
        Map<String, Object> claims = new HashMap<>();
        claims.put("roles", roles);
        return createToken(claims, username, ACCESS_TOKEN_VALIDITY);
    }
 
    // 生成刷新令牌
    public String generateRefreshToken(String username) {
        return createToken(new HashMap<>(), username, REFRESH_TOKEN_VALIDITY);
    }
 
    private String createToken(Map<String, Object> claims, String subject, long validity) {
        return Jwts.builder()
                .setClaims(claims)
                .setSubject(subject)
                .setIssuedAt(new Date(System.currentTimeMillis()))
                .setExpiration(new Date(System.currentTimeMillis() + validity))
                .signWith(SignatureAlgorithm.HS256, SECRET_KEY)
                .compact();
    }
 
    // 驗證令牌
    public Boolean validateToken(String token) {
        try {
            Jwts.parser().setSigningKey(SECRET_KEY).parseClaimsJws(token);
            return true;
        } catch (Exception e) {
            return false;
        }
    }
 
    // 從令牌中獲取用戶名
    public String getUsernameFromToken(String token) {
        return getClaimFromToken(token, Claims::getSubject);
    }
 
    // 從令牌中獲取角色
    public String getRolesFromToken(String token) {
        return (String) getAllClaimsFromToken(token).get("roles");
    }
 
    private <T> T getClaimFromToken(String token, Function<Claims, T> claimsResolver) {
        final Claims claims = getAllClaimsFromToken(token);
        return claimsResolver.apply(claims);
    }
 
    private Claims getAllClaimsFromToken(String token) {
        return Jwts.parser().setSigningKey(SECRET_KEY).parseClaimsJws(token).getBody();
    }
}

4. Java 項目中實現(xiàn) RBAC 權限控制

下面是一個基于 Spring Security 的 RBAC 實現(xiàn)示例：

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.web.SecurityFilterChain;
import org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter;
 
@Configuration
@EnableWebSecurity
public class SecurityConfig {
 
    private final JwtRequestFilter jwtRequestFilter;
 
    public SecurityConfig(JwtRequestFilter jwtRequestFilter) {
        this.jwtRequestFilter = jwtRequestFilter;
    }
 
    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .csrf().disable()
            .authorizeRequests()
                .antMatchers("/api/auth/**").permitAll() // 認證接口不需要權限
                .antMatchers("/api/admin/**").hasRole("ADMIN") // 需要ADMIN角色
                .antMatchers("/api/user/**").hasAnyRole("ADMIN", "USER") // 需要ADMIN或USER角色
                .anyRequest().authenticated()
                .and()
            .addFilterBefore(jwtRequestFilter, UsernamePasswordAuthenticationFilter.class);
        
        return http.build();
    }
}

5. 數(shù)據(jù)庫五層設計方案

一個完整的 RBAC 系統(tǒng)數(shù)據(jù)庫設計通常包含以下五層：

第一層：用戶層

CREATE TABLE users (
    id BIGINT PRIMARY KEY AUTO_INCREMENT,
    username VARCHAR(50) UNIQUE NOT NULL,
    password VARCHAR(100) NOT NULL,
    email VARCHAR(100) UNIQUE NOT NULL,
    status TINYINT NOT NULL DEFAULT 1,
    created_at TIMESTAMP DEFAULT CURRENT_TIMESTAMP,
    updated_at TIMESTAMP DEFAULT CURRENT_TIMESTAMP ON UPDATE CURRENT_TIMESTAMP
);

第二層：角色層

CREATE TABLE roles (
    id BIGINT PRIMARY KEY AUTO_INCREMENT,
    role_name VARCHAR(50) UNIQUE NOT NULL,
    description VARCHAR(255),
    status TINYINT NOT NULL DEFAULT 1,
    created_at TIMESTAMP DEFAULT CURRENT_TIMESTAMP,
    updated_at TIMESTAMP DEFAULT CURRENT_TIMESTAMP ON UPDATE CURRENT_TIMESTAMP
);

第三層：權限層

CREATE TABLE permissions (
    id BIGINT PRIMARY KEY AUTO_INCREMENT,
    permission_name VARCHAR(50) UNIQUE NOT NULL,
    description VARCHAR(255),
    status TINYINT NOT NULL DEFAULT 1,
    created_at TIMESTAMP DEFAULT CURRENT_TIMESTAMP,
    updated_at TIMESTAMP DEFAULT CURRENT_TIMESTAMP ON UPDATE CURRENT_TIMESTAMP
);

第四層：關聯(lián)層

-- 用戶-角色關聯(lián)表
CREATE TABLE user_roles (
    user_id BIGINT NOT NULL,
    role_id BIGINT NOT NULL,
    PRIMARY KEY (user_id, role_id),
    FOREIGN KEY (user_id) REFERENCES users(id),
    FOREIGN KEY (role_id) REFERENCES roles(id)
);
 
-- 角色-權限關聯(lián)表
CREATE TABLE role_permissions (
    role_id BIGINT NOT NULL,
    permission_id BIGINT NOT NULL,
    PRIMARY KEY (role_id, permission_id),
    FOREIGN KEY (role_id) REFERENCES roles(id),
    FOREIGN KEY (permission_id) REFERENCES permissions(id)
);

第五層：資源層（可選，用于更細粒度控制）

CREATE TABLE resources (
    id BIGINT PRIMARY KEY AUTO_INCREMENT,
    resource_name VARCHAR(50) UNIQUE NOT NULL,
    resource_type VARCHAR(50) NOT NULL,
    parent_id BIGINT,
    url VARCHAR(255),
    status TINYINT NOT NULL DEFAULT 1,
    created_at TIMESTAMP DEFAULT CURRENT_TIMESTAMP,
    updated_at TIMESTAMP DEFAULT CURRENT_TIMESTAMP ON UPDATE CURRENT_TIMESTAMP,
    FOREIGN KEY (parent_id) REFERENCES resources(id)
);
 
-- 權限-資源關聯(lián)表
CREATE TABLE permission_resources (
    permission_id BIGINT NOT NULL,
    resource_id BIGINT NOT NULL,
    actions VARCHAR(100) NOT NULL, -- 如: "create,read,update,delete"
    PRIMARY KEY (permission_id, resource_id),
    FOREIGN KEY (permission_id) REFERENCES permissions(id),
    FOREIGN KEY (resource_id) REFERENCES resources(id)
);

6. 實現(xiàn)流程示例

以下是一個典型的認證授權流程：

用戶登錄，驗證用戶名密碼
驗證成功后，生成 Access Token 和 Refresh Token
將兩個 Token 返回給客戶端
客戶端在請求頭中攜帶 Access Token
服務端驗證 Access Token 有效性
若 Access Token 過期，客戶端使用 Refresh Token 請求新的 Access Token
服務端驗證 Refresh Token，生成新的 Access Token 和 Refresh Token
服務端根據(jù) Token 中的角色信息，結合 RBAC 權限控制進行訪問控制

7. 安全增強建議

Refresh Token 存儲安全：
- 考慮將 Refresh Token 存儲在 HttpOnly Cookie 中，防止 XSS 攻擊
- 對 Refresh Token 實現(xiàn)嚴格的同源策略
Token 泄露防護：
- 實現(xiàn) Token 撤銷機制
- 為每個用戶維護一個唯一的設備標識
- 實現(xiàn)異常登錄檢測和通知
權限設計最佳實踐：
- 遵循最小權限原則
- 定期審查和清理過時角色和權限
- 實現(xiàn)權限繼承和權限組